主页 / user-470946

Einheri's questions

Martin Hope
Einheri
Asked: 2021-01-24 06:44:17 +0800 CST
  • 2

根据nftables wiki（也可以在此处查看此答案），数据包碎片整理发生在优先级 -400。但是，当我使用优先级 -300 的 nftables 链时：

flush ruleset;
table ip test {
    chain prerouting {
         type filter hook prerouting priority -300; policy accept;
         ip frag-off & 0x1fff != 0 log;
    }
}

我清楚地看到内核日志中的碎片数据包：

[ 2526.162244] IN=ens7 OUT= MAC=0c:5c:00:2d:b4:03:0c:80:9a:6a:23:01:08:00 SRC=201.201.201.1 DST=200.200.200.2 LEN=1500 TOS=0x00 PREC=0x00 TTL=63 ID=33977 MF FRAG:185 PROTO=UDP 
[ 2526.162752] IN=ens7 OUT= MAC=0c:5c:00:2d:b4:03:0c:80:9a:6a:23:01:08:00 SRC=201.201.201.1 DST=200.200.200.2 LEN=961 TOS=0x00 PREC=0x00 TTL=63 ID=33977 FRAG:370 PROTO=UDP

上面的代码只是一个最小的可重现示例；在我们的实际代码中，这会导致诸如只有初始 UDP 片段经过（原始）NAT 等问题。

内核模块nf_conntrack与nf_defrag_ipv4. 我究竟做错了什么？

编辑：

我发现只要添加一个依赖于 conntrack 的规则，这种行为就会消失。规则可以是任何东西，例如

nft add rule table test prerouting ct state new,invalid,established,related counter accept

就好像拉入 conntrack 告诉 Linux “我想要一些 conntrack 功能”。所以我的后续问题是，有没有一种方法可以启用 conntrack 而无需添加这个额外的（虚拟）规则？

firewall linux iptables
Martin Hope
Einheri
Asked: 2020-12-16 17:58:34 +0800 CST
  • 2

这个页面似乎暗示，如果PREROUTING表链中有一条规则nat将目标转换1.2.3.4:80为10.1.1.1:8080，那么INPUTandFORWARD链中的规则应该匹配10.1.1.1:8080，而不是1.2.3.4:80。

如果一个人想要执行一个更像这里概述的操作顺序怎么办？即在NAT之前如何对数据包的特征进行过滤？

一种可能性似乎是使用PREROUTING表链raw。问题是 conntrack 在raw/PREROUTING（见注 1）中不可用，例如，非初始 UDP 片段不会与初始片段相关，并且会产生意外匹配。

请让我知道我是否清楚地描述了这个困境，以及是否有任何解决方法。

注意 1：如果我错了，请纠正我，但是当我尝试在中使用 conntrack 时raw/PREROUTING，所有初始 SYN 数据包都被标记为“ INVALID”而不是“ NEW”。在 Netfilter 流程​​图中，“conntrack”似乎也在raw/PREROUTING.

firewall nat iptables
Martin Hope
Einheri
Asked: 2020-04-22 14:04:39 +0800 CST
  • 2

（应版主要求从 NEng 移至 SF）

我们正在 Debian 10、Linux 内核 4.19 之上开发一些交换机管理软件。我们正在使用 Linux 网桥（通过 switchdev 卸载到专有硬件）来进行第 2 层交换。有几件事让我感到困惑：

  1. 使用支持 VLAN 的网桥，如果打开内核 STP 会发生什么？如果我没记错的话，STP 是在 802.1q 中继之前发明的。一切都“正常工作”并与专有协议或多生成树协议互操作吗？
  2. 使用不支持 VLAN 的网桥，可以为每个 VLAN 创建一个网桥，并且可以选择为每个 VLAN 单独打开 STP。中继是通过将带有 vlan 标记的接口添加到相应的网桥来完成的。这是否与 Cisco 的 PVST+ 类似或可互操作？
linux switch stp