Administrace komentářů

Ahojte,

zjistil jsem, že LXC v NASu od QNAPu je zřejmě omezováno firewallem přímo v NASu. Vyexportoval jsem si přes iptables-save nastavení firewallu, ale nedaří se mi zjistit, které pravidlo omezování dělá.

$iptables-save
*nat
:PREROUTING ACCEPT [2509:235072]
:INPUT ACCEPT [729:113753]
:OUTPUT ACCEPT [377:27269]
:POSTROUTING ACCEPT [375:24984]
:DOCKER - [0:0]
:SYSDOCKER - [0:0]
:SYSNAT - [0:0]
:VPNNAT - [0:0]
-A PREROUTING -m addrtype --dst-type LOCAL -j SYSDOCKER
-A PREROUTING -m addrtype --dst-type LOCAL -j DOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j SYSDOCKER
-A OUTPUT -m addrtype --dst-type LOCAL -j DOCKER
-A POSTROUTING -o lxcbr0 -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -o docker0 -m addrtype --src-type LOCAL -j MASQUERADE
-A POSTROUTING -m mark ! --mark 0x0/0xffff -j MASQUERADE
-A POSTROUTING -j VPNNAT
-A POSTROUTING -j SYSNAT
-A SYSNAT -s 10.0.5.0/24 ! -o docker0 -j MASQUERADE
-A SYSNAT -s 10.0.3.0/24 ! -o lxcbr0 -j MASQUERADE
COMMIT
# Completed on Wed Dec 16 07:55:13 2020
# Generated by iptables-save v1.4.21 on Wed Dec 16 07:55:13 2020
*mangle
:PREROUTING ACCEPT [20390:6727754]
:INPUT ACCEPT [6335:1827388]
:FORWARD ACCEPT [13129:4835279]
:OUTPUT ACCEPT [5621:801748]
:POSTROUTING ACCEPT [18840:5650624]
:CHECKHOST - [0:0]
:VPNCHECKHOST - [0:0]
:VPNCUSSETMARK - [0:0]
:VPNDEFSETMARK - [0:0]
:VPNSETMARKENTRANCE - [0:0]
-A INPUT ! -d 169.254.0.0/16 -j CHECKHOST
-A INPUT -j CONNMARK --save-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -j CONNMARK --restore-mark --nfmask 0xffffffff --ctmask 0xffffffff
-A OUTPUT -m set --match-set HOSTSET dst -j MARK --set-xmark 0x10000/0xf0000
-A CHECKHOST -m set --match-set NATSET src -j MARK --set-xmark 0x10000/0xf0000
-A VPNCHECKHOST -m set --match-set VPNSET src -j MARK --set-xmark 0x10000/0xf0000
-A VPNCUSSETMARK -m set --match-set vpndocker0 src -j MARK --set-xmark 0x500/0xff00
-A VPNCUSSETMARK -m set --match-set vpnlxcbr0 src -j MARK --set-xmark 0x600/0xff00
-A VPNCUSSETMARK -m set --match-set vpnwlan0 src -j MARK --set-xmark 0x300/0xff00
-A VPNSETMARKENTRANCE -j VPNCUSSETMARK
-A VPNSETMARKENTRANCE -m mark --mark 0x0/0xffff -j VPNDEFSETMARK
COMMIT
# Completed on Wed Dec 16 07:55:13 2020
# Generated by iptables-save v1.4.21 on Wed Dec 16 07:55:13 2020
*filter
:INPUT ACCEPT [6533:1842995]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [5821:817800]
:DOCKER - [0:0]
:DOCKER-ISOLATION-STAGE-1 - [0:0]
:DOCKER-ISOLATION-STAGE-2 - [0:0]
:DOCKER-USER - [0:0]
:SYSDOCKER - [0:0]
:SYSDOCKER-ISOLATION-STAGE-1 - [0:0]
:SYSDOCKER-ISOLATION-STAGE-2 - [0:0]
:SYSDOCKER-USER - [0:0]
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o lxcbr0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o lxcbr0 -j DOCKER
-A FORWARD -i lxcbr0 ! -o lxcbr0 -j ACCEPT
-A FORWARD -i lxcbr0 -o lxcbr0 -j ACCEPT
-A FORWARD -j SYSDOCKER-USER
-A FORWARD -j SYSDOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j SYSDOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A OUTPUT -m set --match-set BRNOIPSET src,dst -j DROP
-A DOCKER-ISOLATION-STAGE-1 -i lxcbr0 ! -o lxcbr0 -j DOCKER-ISOLATION-STAGE-2
-A DOCKER-ISOLATION-STAGE-1 -j RETURN
-A DOCKER-ISOLATION-STAGE-2 -o lxcbr0 -j DROP
-A DOCKER-ISOLATION-STAGE-2 -j RETURN
-A DOCKER-USER -j RETURN
-A SYSDOCKER-ISOLATION-STAGE-1 -i docker0 ! -o docker0 -j SYSDOCKER-ISOLATION-STAGE-2
-A SYSDOCKER-ISOLATION-STAGE-1 -j RETURN
-A SYSDOCKER-ISOLATION-STAGE-2 -o docker0 -j DROP
-A SYSDOCKER-ISOLATION-STAGE-2 -j RETURN
-A SYSDOCKER-USER -j RETURN
COMMIT
# Completed on Wed Dec 16 07:55:13 2020

Nmap zobrazuje často např.

$nmap -p- --reason -oN - 10.0.3.1 -vv -dd

Ultrascan DROPPED probe packet to 10.0.3.1 detected

A rychlost nmapu při -vvv -ddd ukazuje po chvilce např. 20 paketu/s což je opravdu dost pomalé. Děje se to i při skenu dalších počítačů na lokální sítí. Když to udělám na jiném počítači, tak je to chvilka a je dokončeno. Chtěl jsem mít v LXC běžící kontejner na monitoring a hledání otevřených portů jednou za den na serverech co s spravuji, ale takhle to vypadá, že to na jednom serveru doběhne za několik hodin a tedy to nebude moc použitelné.

Tušíte, jak najít, které pravidlo za to může?