Команда iptables в Ubuntu 22.04 не работает

Совершенно нов для netfilter, в данный момент я запускаю приложение, которое использует три интерфейса eth0/eth1/eth2, мое приложение будет работать на двух серверах, и они оба могут общаться между собой через свои собственные интерфейсы (eth0/eth1/eth2)

В Ubuntu 18.04 (версия ядра 4.*) я просто использовал команды iptables, чтобы разорвать связь между ними.

В 22.04 (версия ядра 6.2.*) я использую те же команды iptables, чтобы разорвать связь между двумя серверами, но все не работает так, как ожидалось (код моего приложения остался без изменений) — у моего приложения есть механизм, который сообщает, доступен ли соседний сервер или нет — в 22.04 с примененными правилами iptables он по-прежнему сообщает, что другой сервер доступен (в 18.04 это было не так).

Я вижу, что многое изменилось в отношении того, как сетевой трафик может фильтроваться между двумя версиями ядра (больше инструментов в более новой версии).

Я удалил ufw, чтобы избежать конфликтов с nftables, одно наблюдение: когда я применял правило, на мгновение моё приложение сообщало, что соседний сервер недоступен, и вдруг это изменялось на доступный, что-то переопределяет правило, я не уверен.

Теперь я ищу помощь здесь, чтобы увидеть, что я пропустил…

-A INPUT -s x.x.x.x/32 -d y.y.y.y/32 -i eth2 -j DROP
-A INPUT -s x.x.x.y/32 -d y.y.y.x/32 -i eth1 -j DROP
-A INPUT -s x.x.y.y/32 -d y.y.x.x/32 -i eth0 -j DROP

-A OUTPUT -s y.y.y.y/32 -d x.x.x.x/32 -o eth2 -j DROP
-A OUTPUT -s y.y.y.x/32 -d x.x.x.y/32 -o eth1 -j DROP
-A OUTPUT -s y.y.x.x/32 -d x.x.y.y/32 -o eth0 -j DROP

Примечание: Все мои правила добавлены в цепочку, чтобы убедиться, что они имеют приоритет над всем остальным.

Chain INPUT (policy DROP)
target     prot opt source               destination
DROP       all  --  xxxx  yyyy
DROP       all  --  zzzz  AAAA
DROP       all  --  BBBB  CCCC

В Ubuntu 22.04 nftables используется по умолчанию.

Что нового в безопасности для Ubuntu 22.04 LTS?

nftables как бэкенд для брандмауэра по умолчанию

Брандмауэр на Linux состоит из двух компонентов – механизма брандмауэра в ядре Linux и инструментов, используемых для его настройки из пользовательского пространства. Ядро Linux традиционно поддерживало две разные подсистемы для политик брандмауэра – iptables / xtables и новые nftables. nftables приносит значительные преимущества как с точки зрения производительности, так и гибкости при создании и развертывании правил брандмауэра, особенно для систем с двойным стеком IPv4/IPv6. Традиционный инструмент управления пользовательским пространством iptables теперь настраивает бэкенд ядра nftables, в то время как новый инструмент пользовательского пространства nft также присутствует, чтобы позволить создание более гибких правил, не поддерживаемых традиционной парадигмой iptables.

Вы можете перевести правила iptables в nft с помощью iptables-translate и ipt6ables-translate, например:

iptables-translate -A INPUT -s x.x.x.x/32 -d y.y.y.y/32 -i eth2 -j DROP

см. страницу man для получения дополнительных деталей

Вернуться к iptables.

Используйте следующую команду, чтобы увидеть и изменить приоритет:

update-alternatives --config iptables 

пример вывода:

  Selection    Path                       Priority   Status
------------------------------------------------------------
* 0            /usr/sbin/iptables-nft      20        auto mode
  1            /usr/sbin/iptables-legacy   10        manual mode

Установите наивысший приоритет для iptables:

sudo update-alternatives --install /usr/bin/iptables iptables /usr/sbin/iptables-nft 30

Установите его по умолчанию:

sudo update-alternatives  --set iptables /usr/sbin/iptables-legacy

Отключите UFW и nft:

sudo systemctl disable --now ufw 
sudo systemctl disable --now nftables
sudo apt install iptables-persistent
sudo systemctl enable --now iptables