主页 / unix / 问题

问题[networking](unix)

Martin Hope
Alexis Wilke
Asked: 2025-04-13 23:18:27 +0800 CST
  • 5

我在 dmesg 日志¹中看到大量以下两行内容：

[602956.308844] [iptables] (10): IN=eno1 OUT=eno2 MAC=xx:yy:..:zz SRC=10.174.26.245 DST=192.168.22.59 LEN=60 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=TCP SPT=53 DPT=47150 WINDOW=28960 RES=0x00 ACK SYN URGP=0 
[602956.652575] [iptables] (10): IN=eno1 OUT=eno2 MAC=xx:yy:..:zz SRC=10.172.0.22 DST=192.168.22.59 LEN=60 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=TCP SPT=53 DPT=44204 WINDOW=28960 RES=0x00 ACK SYN URGP=0

我的防火墙阻止了这些，因为它无法识别 10.172.0.22 和 10.174.26.245 IP 地址。

实际上，查看 eno1 和 eno2 的 IP 地址列表，这两个 IP 地址并不包含在内。我使用两个 10.xxx 的 IP 地址，但不包括上面列出的两个（因此防火墙屏蔽了这两个 IP 地址）。

我的网络看起来是这样的：

+----------+     +--------+     +--------+     +--------+
| Internet |<--->| Router |<--->| Server |<--->| Laptop |
+----------+     +--------+     +--------+     +--------+

服务器和笔记本电脑都安装了防火墙。笔记本电脑的IP地址是192.168.22.59。它没有收到任何UDP TCP数据包。

eno1 和 eno2 位于服务器上。eno1 连接到路由器，路由器再连接到互联网。路由器连接使用本地网络地址（IPv4 和 IPv6）。eno2 是我的本地网络（LAN）。服务器设置为转发笔记本电脑和互联网之间的流量。

笔记本电脑使用了VPN，我怀疑它可能来自VPN，但笔记本电脑本身也装有防火墙，因此也会忽略此类流量。我想知道这些数据包来自哪里？是本地系统，还是来自黑客？或者VPN可能是罪魁祸首？无论如何，我不明白UDP TCP数据包怎么会使用网络接口上不存在的IP地址；如果是本地的，我也不明白它怎么会从外部传入。假设是本地进程发送了这些数据包，有什么办法可以找出它吗？

附注：我安装了 libvirt，但我尝试停止正在运行的一个 VPN，结果没有任何效果。而且，它创建的两个网桥不使用 10.17[24].xx 这两个 IP 地址。另外，我实在想不出 VPN 会把UDP TCP 数据包发送到错误的机器的原因。

更新

于是，我打开笔记本电脑，重新连接了 VPN。之后，上面两行代码就不再出现了。

这让我看到了另一行：

[608974.298853] [iptables] (192): IN=eno1np0 OUT=eno2np1 MAC=xx:yy:...:zz SRC=192.168.19.2 DST=192.168.22.189 LEN=151 TOS=0x00 PREC=0x00 TTL=63 ID=8281 DF PROTO=UDP SPT=53 DPT=47512 LEN=131

这个是UDP协议，但关键在于，就像笔记本电脑一样，它需要来自路由器（也就是互联网）的本地IP地址的数据。设备189是我的惠普打印机，所以它可能也有一个类似VPN的系统，并且偶尔会以这种方式导致DNS请求失败。

解决

我实际上可以在路由表中看到这两个 IP，您可以这样做：

$ ip route

这意味着我的图表会更像这样：

+----------+     +-----+     +--------+     +--------+     +--------+
| Internet |<--->| VPN |<--->| Router |<--->| Server |<--->| Laptop |
+----------+     +-----+     +--------+     +--------+     +--------+

当然，正如telcoM所说，路由器和VPN之间也存在ISP，但这不是罪魁祸首。我现在直接丢弃了这些数据包，而没有先记录它们：

-A bad_tcp_packets -i eno1 -s 10.172.0.0/16 -j DROP
-A bad_tcp_packets -i eno1 -s 10.174.0.0/16 -j DROP

需要注意的是：这意味着使用 VPN 可能会打开另一端的一组本地IP 地址。因此，您必须注意这一点，因为这可能会影响您的 LAN 设置。

¹我设置了防火墙来记录此类访问，以确保能够发现此类问题。目前，我并非试图回避日志，而是试图理解它。

networking
Martin Hope
verified_tinker
Asked: 2025-03-08 14:22:44 +0800 CST
  • 8

我已经看过该网站上的其他答案，阅读了一篇文章并观看了有关该主题的视频，但我仍然无法将我的网络命名空间连接到外界。

设置

我创建了一个名为“foo”的命名空间和一对veth接口，并将其中一个移入命名空间。

ip netns add foo
ip link add veth-foo type veth peer name veth-out
ip link set dev veth-foo netns foo

我为每个接口分配了一个 IP 地址并确保它们都已启动。

ip -n foo addr add 192.168.15.1 dev veth-foo
ip addr add 192.168.15.2 dev veth-out
ip -n foo link set dev veth-foo up
ip link set dev veth-out up

# Just in case, I made sure the loopback interfaces, too, are up, though they still show "UNKNOWN".
ip link set dev lo up
ip -n foo link set dev lo up

我在全局和“foo”命名空间的路由表中添加了条目，以便它们可以相互通信。

ip route add 192.168.15.1 via 192.168.15.2
ip -n foo route add default via 192.168.15.1

现在，我可以从全局命名空间到达“foo”，也可以从“foo”到达全局命名空间。

$ traceroute -n 192.168.15.1
traceroute to 192.168.15.1 (192.168.15.1), 30 hops max, 60 byte packets
 1  192.168.15.1  0.257 ms  0.209 ms  0.194 ms

$ ip netns exec foo traceroute -n 192.168.15.2
traceroute to 192.168.15.2 (192.168.15.2), 30 hops max, 60 byte packets
 1  192.168.15.2  0.046 ms  0.009 ms  0.008 ms

我还可以从“foo”内部访问连接虚拟机和外界的以太网接口。

# I ran this after I finished setting up IP forwarding, packet forwarding,
# and IP masquerading, so I'm not sure if it would work at this stage.
$ ip netns exec foo traceroute -n 10.0.2.15
traceroute to 10.0.2.15 (10.0.2.15), 30 hops max, 60 byte packets
 1  10.0.2.15  0.065 ms  0.010 ms  0.008 ms

最后，我设置了 IP 转发、数据包转发和 IP 伪装。

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A FORWARD -o enp1s0 -i veth-out -j ACCEPT
iptables -A FORWARD -i enp1s0 -o veth-out -j ACCEPT
iptables -t nat -A POSTROUTING -s 192.168.15.1/24 -o enp1s0 -j MASQUERADE

因此，我的系统如下所示：

$ sysctl -a | grep ip_forward
net.ipv4.ip_forward = 1
net.ipv4.ip_forward_update_priority = 1
net.ipv4.ip_forward_use_pmtu = 0

$ iptables -t nat -L -v
Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 102 packets, 6816 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 MASQUERADE  all  --  any    enp1s0  192.168.15.0/24      anywhere

$ ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute 
       valid_lft forever preferred_lft forever
2: enp1s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 52:54:00:c3:cd:ac brd ff:ff:ff:ff:ff:ff
    inet 10.0.2.15/24 brd 10.0.2.255 scope global dynamic noprefixroute enp1s0
       valid_lft 83383sec preferred_lft 83383sec
    inet6 fec0::11b8:4b3b:59ba:bae4/64 scope site dynamic noprefixroute 
       valid_lft 86026sec preferred_lft 14026sec
    inet6 fe80::f3fd:90f2:d15f:d570/64 scope link noprefixroute 
       valid_lft forever preferred_lft forever
3: veth-out@if4: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether da:a2:13:05:c4:f5 brd ff:ff:ff:ff:ff:ff link-netns foo
    inet 192.168.15.2/32 scope global veth-out
       valid_lft forever preferred_lft forever
    inet6 fe80::d8a2:13ff:fe05:c4f5/64 scope link proto kernel_ll 
       valid_lft forever preferred_lft forever

$ ip -n foo addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host proto kernel_lo 
       valid_lft forever preferred_lft forever
4: veth-foo@if3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 7e:84:e6:16:92:8e brd ff:ff:ff:ff:ff:ff link-netnsid 0
    inet 192.168.15.1/32 scope global veth-foo
       valid_lft forever preferred_lft forever
    inet6 fe80::7c84:e6ff:fe16:928e/64 scope link proto kernel_ll 
       valid_lft forever preferred_lft forever

$ ip route
default via 10.0.2.2 dev enp1s0 proto dhcp src 10.0.2.15 metric 100 
10.0.2.0/24 dev enp1s0 proto kernel scope link src 10.0.2.15 metric 100 
192.168.15.1 via 192.168.15.2 dev veth-out

$ ip -n foo route
default via 192.168.15.1 dev veth-foo

测试

此刻，我期望能够与外界取得联系，但是却不行。

$ ip netns exec foo traceroute -n 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
 1  192.168.15.1  3067.680 ms !H  3067.655 ms !H  3067.650 ms !H

$ sudo ip netns exec foo ping -c 3 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
From 192.168.15.1 icmp_seq=1 Destination Host Unreachable
From 192.168.15.1 icmp_seq=2 Destination Host Unreachable
From 192.168.15.1 icmp_seq=3 Destination Host Unreachable

--- 8.8.8.8 ping statistics ---
3 packets transmitted, 0 received, +3 errors, 100% packet loss, time 2077ms

当然，虚拟机本身是连接到互联网的。

$ traceroute -n 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
 1  10.0.2.2  0.719 ms  0.691 ms  0.676 ms
 2  192.168.100.1  1.913 ms  2.593 ms  5.264 ms
 3  31.146.255.37  18.493 ms  18.740 ms  19.041 ms
 4  188.123.128.85  19.384 ms  19.658 ms  19.925 ms
 5  188.123.128.96  20.275 ms  21.787 ms 188.123.128.84  21.773 ms
 6  192.178.69.213  47.953 ms  53.145 ms  53.127 ms
 7  192.178.69.212  53.116 ms  51.893 ms 188.123.128.33  51.293 ms
 8  192.178.107.87  48.513 ms 192.178.107.135  43.582 ms 192.178.107.203  43.391 ms
 9  72.14.237.137  43.195 ms 8.8.8.8  43.207 ms  43.200 ms

$ ping -c 3 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=255 time=40.2 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=255 time=37.9 ms
64 bytes from 8.8.8.8: icmp_seq=3 ttl=255 time=38.0 ms

--- 8.8.8.8 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2003ms
rtt min/avg/max/mdev = 37.859/38.698/40.205/1.067 ms

传输控制包

以下是 的输出tcpdump -n -i veth-out icmp。当我定位192.168.15.2&时10.0.2.15，它捕获了数据包，但当我定位 时，它什么也没得到8.8.8.8。

listening on veth-out, link-type EN10MB (Ethernet), snapshot length 262144 bytes

# This is the output when I ran `traceroute -n 192.168.15.2` (the address
# of "veth-out") in another terminal window (from inside "foo", of course).
12:44:19.172007 IP 192.168.15.2 > 192.168.15.1: ICMP 192.168.15.2 udp port traceroute unreachable, length 68
12:44:19.172029 IP 192.168.15.2 > 192.168.15.1: ICMP 192.168.15.2 udp port mtrace unreachable, length 68
12:44:19.172046 IP 192.168.15.2 > 192.168.15.1: ICMP 192.168.15.2 udp port 33436 unreachable, length 68
12:44:19.172063 IP 192.168.15.2 > 192.168.15.1: ICMP 192.168.15.2 udp port 33437 unreachable, length 68
12:44:19.172102 IP 192.168.15.2 > 192.168.15.1: ICMP 192.168.15.2 udp port 33438 unreachable, length 68
12:44:19.172119 IP 192.168.15.2 > 192.168.15.1: ICMP 192.168.15.2 udp port 33439 unreachable, length 68

# And this is when I ran the same command but addressed 10.0.2.15 (the
# ethernet interface to the outside world).
12:44:35.305689 IP 10.0.2.15 > 192.168.15.1: ICMP 10.0.2.15 udp port traceroute unreachable, length 68
12:44:35.305715 IP 10.0.2.15 > 192.168.15.1: ICMP 10.0.2.15 udp port mtrace unreachable, length 68
12:44:35.305733 IP 10.0.2.15 > 192.168.15.1: ICMP 10.0.2.15 udp port 33436 unreachable, length 68
12:44:35.305750 IP 10.0.2.15 > 192.168.15.1: ICMP 10.0.2.15 udp port 33437 unreachable, length 68
12:44:35.305766 IP 10.0.2.15 > 192.168.15.1: ICMP 10.0.2.15 udp port 33438 unreachable, length 68
12:44:35.305783 IP 10.0.2.15 > 192.168.15.1: ICMP 10.0.2.15 udp port 33439 unreachable, length 68
^C
12 packets captured
12 packets received by filter
0 packets dropped by kernel

无论目标是什么，都tcpdump -n -i lo icmp没有捕获任何数据包，即使“foo”成功到达“enp1s0”接口（地址为）。tcpdump -n -i enp1s0 icmptraceroute10.0.2.15

系统信息

这是在 VM（GNOME Boxes）中完成的，在 Fedora 41、内核版本 6.11.4-301.fc41.x86_64 上。

我的主机也运行 Fedora 41，但内核版本是 6.13.5-200.fc41.x86_64。

编辑：为了防止这是 Fedora 的问题，我在 Mint VM 中对其进行了测试，结果发生了完全相同的事情。

networking
Martin Hope
An old man in the sea.
Asked: 2025-01-30 05:07:24 +0800 CST
  • 5

我正在尝试学习如何使用iptables。我尝试通过 http 和 https 阻止所有流量。

我的输入和输出链是空的。

我最初做了以下事情：

sudo iptables -A OUTPUT -p tcp --dport 80 -j DROP
sudo iptables -A OUTPUT -p tcp --dport 443 -j DROP

但是，我仍然可以访问新网页，例如https://systemd.io/或https://fr.euronews.com/，但不能访问https://unix.stackexchange.com/

因为这还不够，所以我决定为 OUTPUT 链添加类似的规则......

sudo iptables -A INPUT -p tcp --sport 80 -j DROP
sudo iptables -A INPUT -p tcp --sport 443 -j DROP

我仍然可以访问那些网站......我不确定这是如何实现的。

在 FORWARD 链中，我有 3 条规则（重复多次），

ACCEPT     all  --  anywhere             anywhere             ctstate RELATED,ESTABLISHED
DOCKER     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere

我不确定它们是否影响输入链或输出链......

networking
Martin Hope
Dave
Asked: 2025-01-10 21:25:06 +0800 CST
  • 5

所以我有一个用 yocto 构建的嵌入式系统。我正在尝试启用 DHCPv6。但是当我尝试将接口联机时，ifup 说它找不到 DHCPv6 软件，即使安装了 dhcpcd。如果我手动运行 dhcpcd，它就可以工作。

root@1234:~# cat /etc/network/interfaces
auto lo
iface lo inet loopback

auto eth0
iface eth0 inet static
        address 192.168.5.80
        netmask 255.255.255.0
        gateway 192.168.5.1

iface eth1 inet6 dhcp

root@1234:~# ip a show dev eth1
8: eth1: <BROADCAST,NOARP,UP,LOWER_UP> mtu 1500 qdisc noqueue qlen 1000
    link/ether ce:e6:83:59:f1:93 brd ff:ff:ff:ff:ff:ff
    inet 169.254.23.45/16 brd 169.254.255.255 scope global noprefixroute eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::468b:6249:e50b:a437/64 scope link
       valid_lft forever preferred_lft forever

root@1234:~# which dhcpcd
/sbin/dhcpcd

root@1234:~# ifup eth1
No DHCPv6 client software found!
ifup: failed to bring up eth1

root@1234:~#

请注意，eth1 现在只是一个虚拟接口，因此我不会因为 eth0 而破坏我的 ssh 连接，而 eth0 才是我真正想要添加 DHCPv6 的地方。

networking
Martin Hope
Rain
Asked: 2024-12-24 00:17:36 +0800 CST
  • 5

我的笔记本电脑运行 NixOs 24.11，配备英特尔(R) Wi-Fi 6E AX211 160MHz 适配器，无法使用 wifi 连接到我的家庭网络（以太网正在工作）。它没有显示正确的 SSID（2.4G 或 5G），而是只显示fhmesh_路由器的十六进制 mac 地址。当我尝试在平铺窗口管理器中连接到它时，networkManager 显示错误802-11-wireless-security.key-mgmt: 'wpa-psk' is not a valid value for 'mesh' mode connections。当我尝试使用 KDE Plasma 连接到它时，它显示802-11-wireless.mode: connection does not match access point。我使用正确的 SSID 的名称和密码连接到隐藏网络，但 networkManager 找不到它。我尝试安装iwlwifi内核模块（日志）、软件包和iw，但这些都不能解决我的问题。我运行了，显示我的监管国家是。我尝试运行（我在加拿大）和（我的路由器的 WLAN 设置页面显示其国家为，我无法更改它）。两个选项似乎都不起作用。我试过切换到，但那也不起作用。pkgs.wireless-regdbhardware.firmwareiw reg getTH: DFS-UNSETsudo iw reg setCAUSUNITED STATESwpa-supplicant

额外信息：

  • 此问题似乎仅当我的设备使用 CIK Telecom 提供的互联网时才会出现，因为我无法连接到同一 ISP 下另一所房子的 wifi。我可以连接到非此 ISP 提供的地方的 wifi，并且 networkManager 目前能够检测到我邻居的 wifi。
  • 当我在同一台机器上双启动 Windows 时，此问题不会出现（快速重启已禁用）。我在另一台机器上运行 Debian，它可以正常连接到 wifi。它使用正确的 SSID 连接到网络，同时还向我显示连接到 的选项fhmesh_。当我尝试连接到 时fhmesh_，wpa-psk会出现相同的错误。iw reg get在这台机器上也返回TH: DFS-UNSET
  • 我的/etc/nixos在这里
  • 我刚刚更新到nixos-unstable，但这个问题仍然存在
networking
Martin Hope
Nicolas Straub
Asked: 2024-12-23 02:58:51 +0800 CST
  • 5

我正在尝试在新的 raspbian lite 操作系统上设置静态 IP。

我以前能够通过修改/etc/network/interfaces文件在较旧的 debian 系统上设置静态 IP 地址，但这个操作系统没有这样的文件。当我添加以下内容的文件时：

auto eth0
iface eth0 static
    address 192.168.1.15/24
    gateway 192.168.1.1

iface 已取消配置。它甚至不采用 dhcp 值。我遗漏了什么或者做错了什么？

networking
Martin Hope
TheYokai
Asked: 2024-11-23 05:38:37 +0800 CST
  • 5

因此，我有一个名为的 Docker 网络home，其中包含所有基于根的容器（或难以移植到 podman 的 Docker 容器）。

sudo docker network ls
NETWORK ID     NAME                 DRIVER    SCOPE
9d5788b45048   bridge               bridge    local
b1f4756feab4   home                 bridge    local
5d7ee6579f19   host                 host      local
8678a773e2f2   none                 null      local

而且，对于 podman，我有一个非常相似的配置。

podman network ls
NETWORK ID    NAME        DRIVER
8b17ae3d5d67  home        bridge  
2f259bab93aa  podman      bridge

问题是什么？好吧，事实证明，我的容器名称解析在一个网络到另一个网络之间不起作用。例如，我nginx-proxy-manager在 podman 上运行，我想http://domain/freshrss通过指定和关联的端口号重定向到 freshrss 服务freshrss。这不起作用，这对我来说很有意义，因为 docker 网络和 podman 网络从根本上是彼此分离的。

所以我的问题很简单：有没有办法将这两个网络桥接在一起，将它们视为一个网络，而不会损害个性化网络配置的完整性？或者，有没有办法让我解决这个通信问题，而不必在转发名称和端口中重新指定域名？例如，我认为转发到127.0.0.1:<freshrss port>会起作用，因为它会转到主机，然后连接到适当的端口，但那不起作用。

docker/podman compose欢迎提供有针对性的答案，因为这就是我配置我的服务的方式。

networking
Martin Hope
Jacob Boughton
Asked: 2024-11-18 17:41:06 +0800 CST
  • 5

我有一台使用 32 位 Bookworm 的 Raspberry Pi 1 Model B，并通过以太网电缆将其连接到我的网络路由器（BT 集线器）。

我希望能够使用路径从我的 Windows 11 笔记本电脑读取和写入 Raspberry Pi 上的所有文件\\192.168.1.123\example。

目前，我的电脑可以从该文件目录读取我使用 Samba 设置的几个文件，但我看不到任何未使用 Samba 或任何连接的 USB 驱动器创建的原始文件。

我怎样才能让我的笔记本电脑能够写入和读取连接到 Raspberry Pi 的所有文件和驱动器？

我还希望我连接的任何驱动器都能被笔记本电脑自动访问，这样每次连接新驱动器时，我就不必在 Raspberry Pi 上进行任何更改。

networking