Administrace komentářů

Tak jsem právě zjistil, že přístup z WANu na SSH funguje - tj. z IP adresy 10.255.255.32 se na SSH přihlásím. Dále ale v inputu povoluju přístup na SSH pouze pro IP adresy 10.100.1.11 a 10.101.1.11.
Nerozumím tomu, co mám špatně, že se z vnitřní sítě na SSH serveru (ssh root@10.100.1.1 nebo ssh root@10.101.1.1) připojím z kterýchkoli ostatních vnitřních adres než jsou 10.100.1.11 nebo 10.101.1.11.

Dále jsem si na serveru rozchodil DHCP server, který přiděluji IP adresy ve vlan100 a vlan101.
Jak je možné, že DHCP server přidělí stanicím bez problému IP adresu, když jsem DHCP službu nikde v konfiguraci nftables.conf nepovolil ?

Aktuální nftables.conf viz. níže.

cat /etc/nftables.conf
#!/usr/sbin/nft -f

flush ruleset

table inet filter {
        chain input {
        type filter hook input priority 0; policy drop;

      # accept any localhost traffic
      iif lo accept

      # accept trafic originated from us
      # ct state established,related accept

      # drop invalid packets
      ct state invalid counter drop

      # accept http, https from anywhere
      tcp dport { 80,443 } accept

      # accept OpenVPN clients from anywhere
      udp dport 1194 accept comment "OpenVPN in"

      # accept WireGuard clients from anywhere
      udp dport 5180 accept comment "WireGuard in"

      # accept SSH only from this IPs
      tcp dport ssh ip saddr 10.255.255.32 accept comment "SSH in"
      tcp dport ssh ip saddr 10.100.1.11 accept comment "SSH in"
      tcp dport ssh ip saddr 10.101.1.11 accept comment "SSH in"

      # accept icmp from anywhere
      ip protocol icmp accept

      # accept icmpv6 from anywhere
      ip6 nexthdr icmpv6 accept

      #  meta nfproto ipv6 from anywhere
      icmpv6 type { nd-neighbor-advert, nd-neighbor-solicit, nd-router-advert} ip6 hoplimit 1 accept
      icmpv6 type { nd-neighbor-advert, nd-neighbor-solicit, nd-router-advert} ip6 hoplimit 255 counter accept

      # count and reject everithing else
      counter reject with icmpx type admin-prohibited


      }


	chain forward {
		type filter hook forward priority 0; policy drop;

                # povolím přístup na internet z vlan100
                iifname "vlan100" oifname "ens192" accept                                       # vlan100  to Internet
                iifname "ens192" oifname "vlan100" ct state related,established accept          # Internet to vlan100

                # povolím přístup na internet z vlan101
                iifname "vlan101" oifname "ens192" accept                                       # vlan101 to Internet
                iifname "ens192" oifname "vlan101" ct state related,established accept          # Internet to vlan101

                # povolím přístup z vlan100 do vlan101
                # pokud se komunikace navazuje z vlan100
                iifname "vlan100" oifname "vlan101" accept                                      # vlan100 to vlan101
                iifname "vlan101" oifname "vlan100" ct state related,established accept         # vlan101 to vlan100

                iifname "vlan101" ip saddr 10.101.1.12 oifname "vlan100" accept
                iifname "vlan100" ip daddr 10.101.1.12 oifname "vlan101" accept

 	}


	chain output {
		type filter hook output priority 0;
	}

}


table ip nat {
    chain prerouting {
        type nat hook prerouting priority 0; policy accept;
    }

    chain postrouting {
        type nat hook postrouting priority 100; policy accept;
        ip saddr 10.100.1.0/24 oif "ens192" snat 10.255.255.251
        ip saddr 10.101.1.0/24 oif "ens192" snat 10.255.255.251
    }
}

Díky, Petr