Administrace komentářů

Prosím o vaše názory na následující problém:

Mám domácí IPv6 síť se serverem, který routuje ven přes 6to4. Chtěl jsem do té sítě zavolat zvenku přes SIP. S IPv6 by to mělo jít teoreticky bez problémů. Nicméně výsledek byl velmi neslavný.

Napřed jsem zkusil prostě zavolat. Nefungovalo to, což bylo zcela správné, protože tam je nastavený jednoduchý firewall (viz řetězec FORWARD). Zvenku tedy spojení skutečně navázat nešlo. Tím ovšem korektní chování končí...

[root@charon ~]# ip6tables-save
# Generated by ip6tables-save v1.4.0 on Sat Oct 18 01:15:01 2008
*mangle
:PREROUTING ACCEPT [92:18894]
:INPUT ACCEPT [10:952]
:FORWARD ACCEPT [82:17942]
:OUTPUT ACCEPT [11:1500]
:POSTROUTING ACCEPT [94:19602]
-A FORWARD -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
# Completed on Sat Oct 18 01:15:01 2008
# Generated by ip6tables-save v1.4.0 on Sat Oct 18 01:15:01 2008
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [13:1804]
-A INPUT -i lo -j ACCEPT
-A INPUT -i ath0 -j ACCEPT
-A INPUT -i eth1 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 25 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 143 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5190 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5222 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5223 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 5269 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7777 -j ACCEPT
-A INPUT -p udp -m udp --dport 7777 -j ACCEPT
-A INPUT -p ipv6-icmp -j ACCEPT
-A FORWARD -i lo -j ACCEPT
-A FORWARD -i ath0 -j ACCEPT
-A FORWARD -i eth1 -j ACCEPT
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
COMMIT
# Completed on Sat Oct 18 01:15:01 2008

Pak jsem prostě (jen tak na zkoušku) povolil forwardování všech paketů, tj. vypnul firewall.

ip6tables -t filter -P FORWARD ACCEPT

Nyní by správně měly všechny hovory bez problémů fungovat. Opak byl pravdou, což je vážná chyba. Zvukové spojení (RTP) se buď nenavázalo vůbec, nebo se (nejčastěji) navázalo pouze jedním směrem, nebo bylo po cca dvou sekundách v jednom směru přerušeno.

Už výše zmíněný problém by možná stačil na obsáhlé chybové hlášení, ale zkusil jsem jen tak pro zajímavost ještě jeden špinavý trik:

ip6tables -t filter -P INPUT ACCEPT

Pak už bylo zcela jisté, že je něco špatně. Hovory totiž začaly fungovat bez problémů. Abych vyloučil dočasnou nefunkčnost sítě, obě situace jsem prověřil ještě jednou se stejným výsledkem. (Zdůrazňuji, že volaný počítač nebyl samotný server. Šlo o stroj ve „vnitřní“ síti.)

Pokud jsem něco podstatného nepřehlédl, je tohle závažný bug v kernelu. Forwardování nemá absolutně nic společného s řetězcem INPUT. Jak je vůbec možné, že se zahazují nějaké pakety, přestože je forwardování povoleno, a že teprve úplné vyřazení řetězce INPUT dá tento problém do pořádku?

Hlavní otázka je: Co s tím? Hlásit? Nebo to může mít ještě jiné příčiny?