Debian10(buster)でのufwとiptablesの組み合わせについて

otani818

2022年2月16日 10時45分

Armadillo-IoT G3Lでufwコマンドによるファイアウォールを使用していて、通常の排他制御は問題ありませんが、
/etc/ufw/before.rules でポートフォワーディングの定義をしても転送が動作せず、原因を調べているとデフォルトで使用するiptablesが変更されている事に気づきました。
・iptables-legacy　　Debian9(stretch), ubuntuなど
・iptables-nft　　　　Debian10(buster)

※ここにもその点が掲載されていますが
https://qiita.com/no_clock/items/5145ff0aeb377fda3934

ufwコマンドはiptablesを操作しているので、
iptables-legacyをデフォルトに変更すると全て正常に動作しました。

Debian10(buster)でufwコマンドを使う場合、
iptables-legacyをデフォルトにするべきでしょうか。

よろしくお願いします。

コメントを投稿するにはログインまたは登録をしてください

at_shinya.koga

2022年2月17日 10時24分

アットマークテクノの古賀です。

otani818さん：
>Armadillo-IoT G3Lでufwコマンドによるファイアウォールを使用していて、通常の排他制御は問題ありませんが、
>/etc/ufw/before.rules でポートフォワーディングの定義をしても転送が動作せず、原因を調べているとデフォルトで使用するiptablesが変更されている事に気づきました。
>・iptables-legacy　　Debian9(stretch), ubuntuなど
>・iptables-nft　　　　Debian10(buster)
>
>※ここにもその点が掲載されていますが
>https://qiita.com/no_clock/items/5145ff0aeb377fda3934
>
>ufwコマンドはiptablesを操作しているので、
>iptables-legacyをデフォルトに変更すると全て正常に動作しました。
>
>Debian10(buster)でufwコマンドを使う場合、
>iptables-legacyをデフォルトにするべきでしょうか。

たしかに、上の Qiita エントリを含め、Debian 10 では iptables-legacy をデフォルトにしないと ufw が機能しないと書いている人が多いですね。
ここでも、同じことを書いている人がいるのですが、Debian 9 から 10 にアップグレードした環境だと問題なく動作している、と書いている人もいます：
　https://serverfault.com/q/1006981

確認ですが、iptables-legacy をデフォルトにした状態で ufw を設定した場合、iptables[-nft] で -L した場合も nft list ruleset した場合も、ufw で設定したルールが出力されるものの、設定したはずのポートフォワーディングが機能しない、という状況でしょうか？

コメントを投稿するにはログインまたは登録をしてください

otani818

2022年2月17日 12時36分

こんにちは。

> アットマークテクノの古賀です。
>
> たしかに、上の Qiita エントリを含め、Debian 10 では iptables-legacy をデフォルトにしないと ufw が機能しないと書いている人が多いですね。
> ここでも、同じことを書いている人がいるのですが、Debian 9 から 10 にアップグレードした環境だと問題なく動作している、と書いている人もいます：
> 　https://serverfault.com/q/1006981
>
> 確認ですが、iptables-legacy をデフォルトにした状態で ufw を設定した場合、iptables[-nft] で -L した場合も nft list ruleset した場合も、ufw で設定したルールが出力されるものの、設定したはずのポートフォワーディングが機能しない、という状況でしょうか？

現在のテスト環境は、192.168.102.0/24 のサブネットからArmadillo-eth0ポート30030経由でサーバのポート80へ接続します。
● Armadillo
　eth0: 192.168.102.10
　eth1: 192.168.1.45 (USB-LAN)
●サーバー 192.168.1.30
ufwの設定は、

/etc/ufw/before.rules　NAT部抜粋
 
# NAT
*nat
-F
 
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
 
-A PREROUTING -i eth0 -p tcp --dport 30030 -j DNAT --to-destination 192.168.1.30:80
-A POSTROUTING -d 192.168.1.0/24 -p tcp --dport 80 -j SNAT --to-source 192.168.1.45
 
COMMIT

■iptables-nftがデフォルトの場合
iptables-nftがデフォルト時、nft list rulesetにufwの設定が出力されますが、
nftables は使ったことが無いのでufwの設定が意図通り反映されているか判断できていません。
（dnat to 3.0.0.0-0.0.0.0の部分が気になりますが）
また iptables -t nat -L したときに Warning が出ます

root~# iptables-legacy  -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
 
 
root~# iptables-nft  -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DNAT       tcp  --  anywhere             anywhere             tcp dpt:30030 to:192.168.1.30:80
 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
SNAT       tcp  --  anywhere             192.168.1.0/24       tcp dpt:http to:192.168.1.45
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
# Warning: iptables-legacy tables present, use iptables-legacy to see them
 
 
root~# nft list ruleset  #### table ip filterは省略します####
table ip nat {
        chain PREROUTING {
                type nat hook prerouting priority -100; policy accept;
                iifname "eth0" meta l4proto tcp tcp dport 30030 counter packets 0 bytes 0 dnat to 3.0.0.0-0.0.0.0
        }
 
        chain INPUT {
                type nat hook input priority 100; policy accept;
        }
 
        chain POSTROUTING {
                type nat hook postrouting priority 100; policy accept;
                meta l4proto tcp ip daddr 192.168.1.0/24 tcp dport 80 counter packets 0 bytes 0 snat to 192.168.1.45
        }
 
        chain OUTPUT {
                type nat hook output priority -100; policy accept;
        }
}

■iptables-legacyがデフォルトの場合

root~# iptables-legacy  -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
DNAT       tcp  --  anywhere             anywhere             tcp dpt:30030 to:192.168.1.30:80
 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
SNAT       tcp  --  anywhere             192.168.1.0/24       tcp dpt:http to:192.168.1.45
 
 
root~# iptables-nft  -t nat -L
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination
 
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
 
Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination
 
Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
# Warning: iptables-legacy tables present, use iptables-legacy to see them
 
 
root~# nft list ruleset
table ip nat {
        chain PREROUTING {
                type nat hook prerouting priority -100; policy accept;
        }
 
        chain INPUT {
                type nat hook input priority 100; policy accept;
        }
 
        chain POSTROUTING {
                type nat hook postrouting priority 100; policy accept;
        }
 
        chain OUTPUT {
                type nat hook output priority -100; policy accept;
        }
}

iptables-legacyがデフォルトの場合は正常に転送できていますが、
iptables-nftがデフォルトの場合は接続できず、転送パケットは何も出力されていません。

以上、よろしくお願いします。

コメントを投稿するにはログインまたは登録をしてください

otani818

2022年2月17日 15時21分

追伸です。

> ここでも、同じことを書いている人がいるのですが、Debian 9 から 10 にアップグレードした環境だと問題なく動作している、と書いている人もいます：
> 　https://serverfault.com/q/1006981

こちらでも以下のようなフィルタ処理は ufw + iptables-nft で正常に動作しています。

root~# ufw status
Status: active
 
To                         Action      From
--                         ------      ----
22 on usb1                 ALLOW       Anywhere
443 on usb1                ALLOW       Anywhere
Anywhere on usb1           DENY        Anywhere

なのでこれまで気づきませんでした。
今のところ問題があるのはフォワーディング処理についてです。。。

以上、よろしくお願いします。

コメントを投稿するにはログインまたは登録をしてください

at_shinya.koga

2022年2月18日 10時16分

アットマークテクノの古賀です。

otani818さん：
>追伸です。
>
>>ここでも、同じことを書いている人がいるのですが、Debian 9 から 10 にアップグレードした環境だと問題なく動作している、と書いている人もいます：
>>　https://serverfault.com/q/1006981
>
>こちらでも以下のようなフィルタ処理は ufw + iptables-nft で正常に動作しています。
…
>なのでこれまで気づきませんでした。
>今のところ問題があるのはフォワーディング処理についてです。。。

了解しました。ところで、昨日書いたコメントに TYPO がありました。ごめんなさい。

古賀（2022年2月17日 10時24分）：
>確認ですが、iptables-legacy をデフォルトにした状態で ufw を設定した場合、iptables[-nft] で -L した場合も…

「iptables-legacy をデフォルトにした状態で」ではなく、
「iptables-nft をデフォルトにした状態で」の間違いでした。

otani818さん（2022年2月17日 12時36分）：
>■iptables-nftがデフォルトの場合
>iptables-nftがデフォルト時、nft list rulesetにufwの設定が出力されますが、
>nftables は使ったことが無いのでufwの設定が意図通り反映されているか判断できていません。
>（dnat to 3.0.0.0-0.0.0.0の部分が気になりますが）
>また iptables -t nat -L したときに Warning が出ます

...
>root~# iptables-nft  -t nat -L
...
># Warning: iptables-legacy tables present, use iptables-legacy to see them

この Warning は、iptables-legacy のルールが空な状態であっても出るようです：
　https://askubuntu.com/a/1317039

otani818さん（2022年2月17日 12時36分）：
>iptables-legacyがデフォルトの場合は正常に転送できていますが、
>iptables-nftがデフォルトの場合は接続できず、転送パケットは何も出力されていません。

根拠はなく、単なる思いつきでのコメントなのですが、

# systemctl is-enabled nftables.service

の結果が disabled の場合（たぶん、その状態だと思います）、

# systemctl enable nftables.service

で nftable を有効にした後、iptables-nft をデフォルトにして再起動した場合は、動作に変化が出るでしょうか？

なお、Debian としては、iptables から nftables への移行を推奨しており、移行にあたって iptables のルールを nftables 用に変換する必要がある場合は、iptables-translate を使えばよいよ、ということのようです：
　https://mizunashi-mana.github.io/blog/posts/2019/09/nftables-on-debian/
　https://wiki.debian.org/nftables

コメントを投稿するにはログインまたは登録をしてください

otani818

2022年2月18日 13時57分

古賀さん

> >iptables-legacyがデフォルトの場合は正常に転送できていますが、
> >iptables-nftがデフォルトの場合は接続できず、転送パケットは何も出力されていません。
>
> 根拠はなく、単なる思いつきでのコメントなのですが、
>

> # systemctl is-enabled nftables.service
>

> の結果が disabled の場合（たぶん、その状態だと思います）、
>

> # systemctl enable nftables.service
>

> で nftable を有効にした後、iptables-nft をデフォルトにして再起動した場合は、動作に変化が出るでしょうか？

残念ながら、nftables を起動しても動作しませんでした。

>
> なお、Debian としては、iptables から nftables への移行を推奨しており、移行にあたって iptables のルールを nftables 用に変換する必要がある場合は、iptables-translate を使えばよいよ、ということのようです：
> 　https://mizunashi-mana.github.io/blog/posts/2019/09/nftables-on-debian/
> 　https://wiki.debian.org/nftables
>

そうですね、今後は他のディストリビューションも nftables に移行するようなので、今後の検討課題としておきます。

その上で、busterでnftablesではなくufwコマンドやiptables(iptables-legacy)を利用する場合は、
”思わぬ誤動作のリスク”を避けるために、デフォルトを"iptables-legacy"にするのほうが安心でしょうね。

--- iptables-legacy をデフォルトにする ----
> # update-alternatives --set iptables /usr/sbin/iptables-legacy
> # update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

ありがとうございました。
以上です。

コメントを投稿するにはログインまたは登録をしてください

Armadilloフォーラム

Debian10(buster)でのufwとiptablesの組み合わせについて

製品

コメント