主页 / unix / 问题 / 552857
Accepted
larsks
Asked: 2019-11-19 16:20:15 +0800 CST

为什么我的网络连接被拒绝？

  • 772

我有一个在 Fedora 31 主机上运行的 CentOS 8 来宾。来宾连接到桥接网络virbr0，并且具有地址192.168.122.217。我可以在该地址通过 ssh 登录来宾。

如果我在监听端口 80 的客户机上启动服务，则从主机到客户机的所有连接都会失败，如下所示：

$ curl 192.168.122.217
curl: (7) Failed to connect to 192.168.122.217 port 80: No route to host

该服务必须0.0.0.0：

guest# ss -tln
State    Recv-Q    Send-Q        Local Address:Port        Peer Address:Port

LISTEN   0         128                 0.0.0.0:22               0.0.0.0:*
LISTEN   0         5                   0.0.0.0:80               0.0.0.0:*
LISTEN   0         128                    [::]:22                  [::]:*

使用tcpdump（在virbr0主机上或在eth0来宾上），我看到来宾似乎正在回复 ICMP“管理员禁止”消息。

19:09:25.698175 IP 192.168.122.1.33472 > 192.168.122.217.http: Flags [S], seq 959177236, win 64240, options [mss 1460,sackOK,TS val 3103862500 ecr 0,nop,wscale 7], length 0
19:09:25.698586 IP 192.168.122.217 > 192.168.122.1: ICMP host 192.168.122.217 unreachable - admin prohibited filter, length 68

INPUT来宾中的链上没有防火墙规则：

guest# iptables -S INPUT
-P INPUT ACCEPT

来宾中的路由表看起来非常正常：

guest# ip route
default via 192.168.122.1 dev eth0 proto dhcp metric 100
172.17.0.0/16 dev docker0 proto kernel scope link src 172.17.0.1 linkdown
192.168.122.0/24 dev eth0 proto kernel scope link src 192.168.122.217 metric 100

SELinux 处于许可模式：

guest# getenforce
Permissive

如果我在端口 22 上停止sshd并启动我的服务，一切都会按预期工作。

是什么导致这些连接失败？

万一有人要求，iptables-save客人的完整输出是：

*filter
:INPUT ACCEPT [327:69520]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [285:37235]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A DOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
COMMIT
*security
:INPUT ACCEPT [280:55468]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [285:37235]
COMMIT
*raw
:PREROUTING ACCEPT [348:73125]
:OUTPUT ACCEPT [285:37235]
COMMIT
*mangle
:PREROUTING ACCEPT [348:73125]
:INPUT ACCEPT [327:69520]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [285:37235]
:POSTROUTING ACCEPT [285:37235]
COMMIT
*nat
:PREROUTING ACCEPT [78:18257]
:INPUT ACCEPT [10:600]
:POSTROUTING ACCEPT [111:8182]
:OUTPUT ACCEPT [111:8182]
:DOCKER - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -s 172.17.0.0/16 ! -o docker0 -j MASQUERADE
-A OUTPUT ! -d 127.0.0.0/8 -m addrtype --dst-type LOCAL -j DOCKER
-A DOCKER -i docker0 -j RETURN
COMMIT
linux

2 个回答

  1. Best Answer

    嗯，我想通了。这是一个doozy。

    CentOS 8 使用nftables，这本身并不奇怪。它附带nft了命令的版本iptables，这意味着当您使用该iptables命令时，它实际上在 nftables 中维护了一组兼容性表。

    然而...

    Firewalld（默认安装）具有对 nftables 的原生支持，因此它不使用 iptables 兼容层。

    因此，虽然iptables -S INPUT向您展示：

    # iptables -S INPUT
-P INPUT ACCEPT

    你实际拥有的是：

            chain filter_INPUT {
                type filter hook input priority 10; policy accept;
                ct state established,related accept
                iifname "lo" accept
                jump filter_INPUT_ZONES_SOURCE
                jump filter_INPUT_ZONES
                ct state invalid drop
                reject with icmpx type admin-prohibited  <-- HEY LOOK AT THAT!
        }

    这里的解决方案（老实说可能是一般的好建议）是：

    systemctl disable --now firewalld

    使用 firewalld 后，可见的 iptables 规则iptables -S将按预期运行。

    • 13

  2. 如果您不打算禁用 firewalld，那么解决方案是在管理程序主机上添加下面提到的 nftables 规则。

    1. 如果您没有使用另一个特定的，请首先将 docker0 添加到内部区域：

      firewall-cmd --zone=internal --change-interface=docker0 --permanent
firewall-cmd --reload

    2. 运行 nftables 以应用规则以接受到 80 端口到目标 192.168.122.217 的 virbr0 接口的 tcp 流量：

      /sbin/nft 添加规则 inet firewalld filter_FWDI_internal_allow oifname "virbr0" ip daddr 192.168.122.217 tcp dport 80 计数器接受评论“评论某事”

    3. 还需要添加 iptables 规则（或将其转换为 nftables 以保持一致性见下文）：

      /usr/sbin/iptables -t filter -I FORWARD -p tcp -o virbr0 -d 192.168.122.217 --dport 80 -j ACCEPT -m comment --comment "comment something"

    这两个规则你可以用 shell 脚本包装并添加延迟设置为 5 秒的 systemd 服务单元。让它在启动过程中自动运行。

    也可以将 iptables 规则转换为 nftables 并将它们都保存到 nftables 规则集。但是，一旦您运行转换后的 iptables 规则，那么 iptables 将被锁定，对 iptables 的任何新更改都只能通过 firewalld 和 nftables 进行。

    另外需要有一个定制的内核可调参数，它使通过网桥的数据包​​不通过 iptables。Net.bridge.bridge-nf-call 和 sysctl.conf

    sysctl net.bridge.bridge-nf-call-iptables=0
sysctl net.bridge.bridge-nf-call-arptables=0
sysctl net.bridge.bridge-nf-call-ip6tables=0

    请注意，如果您将它添加到 sysctl.conf 中，它可能不会在重新启动期间自动应用，因为它是一个已知错误（取决于您的 Linux 发行版）。

    • 0

相关问题