De ce se blochează SSH când utilizați următoarele reguli nftables?

$ cat /etc/nftables.conf
#!/usr/sbin/nft -f

set de reguli de culoare

firewall ip de masă {
  intrare în lanț {
    tip filtru cârlig intrare filtru prioritar; scăderea politicii;
    dacă "lo" accept
    iif != "lo" ip daddr 127.0.0.0/8 drop
    tcp dport 22 accept
    ct stat stabilit, înrudit accepta
  }

  lanț înainte {
    tip filtru cârlig înainte filtru prioritar; scăderea politicii;
  }

  ieșire în lanț {
    tip filtru cârlig ieșire filtru prioritar; scăderea politicii;
    dacă "lo" accept
    udp dport { 53, 123 } accept
    tcp dport { 53, 80, 443 } accept
    ct stat stabilit, înrudit accepta
  }
}

Conexiunea funcționează în cele din urmă, dar durează mult mai mult decât era anticipat.

Alergare journalctl -f, Înțeleg systemd[1]: Nu s-a pornit User Manager pentru UID 1000 înainte de stabilirea definitivă a conexiunilor.

Dacă fug set de reguli nft flush, conexiunea funcționează imediat.

Am găsit problema... greșeală de scriere ieșire în lanț. dacă "lo" accept ar trebui să fie oif "lo" accept.

Pentru conexiunile de intrare TOATE pachetele externe de intrare corespund acestei reguli:

iif != "lo" ip daddr 127.0.0.0/8 drop

deoarece vin pe o interfață care nu este o buclă locală și adresa lor de destinație cu siguranță nu este în rețeaua 127.0.0.0/8. Sunt surprins că trece chiar și după o perioadă de timp expirată, cu excepția cazului în care aveți și IPv6 în funcțiune.

Pentru toate conexiunile de ieșire inițiate local, care nu sunt DNS, NTP, HTTP și HTTPS - acestea ating politica de eliminare a lanțului de ieșire. Din nou - nu ar trebui să funcționeze deloc decât dacă aveți și IPv6 în funcțiune.