Ano countery narůstají + mám filter chain forward s policy accept. Trochu jsem improvizoval - dal jsem si logovat co značkuju "notrack" a došel jsem k závěru, že nesmím nastavit notrack ani té IP adresy na kterou dělám SNAT. V mém případě 10.0.0.1 jakmile jsem ji přidal, tak se to rozběhlo. Uvedu to přímo na příkladu (lepší než 1000 slov...):
table ip raw {
chain PREROUTING {
type filter hook prerouting priority -300; policy accept;
ip saddr { 10.11.12.0/28, 10.0.0.1 } counter packets 3410 bytes 1293532 accept
ip daddr { 10.11.12.0/28, 10.0.0.1 } counter packets 2839 bytes 2530929 accept
notrack accept
}
chain OUTPUT {
type filter hook prerouting priority -300; policy accept;
}
}
table ip nat {
chain POSTROUTING {
type nat hook postrouting priority 100; policy accept;
ip saddr 10.11.12.0/28 counter packets 283 bytes 27112 oifname { "vlan102", "vlan103" } snat to 10.0.0.1
counter packets 90 bytes 17857 comment "count postrouting packets"
}
chain PREROUTING {
type nat hook prerouting priority 0; policy accept;
}
}
Mám pocit, že s tímto setupem mi to funguje. Když se dívám přes conntrack -L -f ipv4, tak tam již vidím jen záznamy co jdou z LANky což je přesně co jsem chtěl. Budu to nějakou dobu testovat jestli jsem si tím nezadělal na nějaké problémy, ale zatím vše běží.
Díky za ten tip na -n já ho znám z jiných příkazů, ale u nftables jsem nebyl zvyklej ho používat.
Dedukce na závěr - chápu správně, že tímto se připravím o možnost používat stavový firewall v rámci nftables, že? Což mi nevadí vystačím si úplně s bezstavovým v mým prostředí.
15 Odpovědí
4187 Zhlédnutí