Rulez un server web (nginx 1.21.6) pe un sistem Debian 11 cu nftables 0.9.8.
Configurația mea nftables este:
tabel inet filter {
intrare în lanț {
tip filtru cârlig intrare filtru prioritar; scăderea politicii;
ip saddr @spamhaus4 contor pachete 0 octeți 0 picătură
ip6 saddr @spamhaus6 contor pachete 0 octeți 0 picătură
meta l4proto tcp meta nfproto ipv4 ip saddr @abuzed counter pachete 0 bytes 0 drop
ip daddr 46.38.148.0-46.38.151.255 drop
dacă „lo” grupul de jurnal 2 accept
iif != „lo” ip daddr 127.0.0.0/8 contor pachete 0 octeți 0 drop comment „eliminare conexiuni la loopback care nu provin din loopback”
iif != „lo” ip6 daddr ::1 contor pachete 0 octeți 0 drop comment „eliminare conexiuni la loopback care nu provin din loopback”
starea ct stabilită, grupul de jurnal asociat 2 accept
ct state pachete de contor nevalide 47 octeți 2572 picătură
tcp dport { 25, 80, 143, 443, 587, 2772, 9980, 45907 } jurnal grup 2 accept
protocol ip icmp tip icmp { ecou-reply, destinație-inaccesibil, ecou-request, router-publicitate, router-solicitare, timp depășit, parametru-problemă } log group 2 accept
ip6 nexthdr ipv6-icmp icmpv6 tip { destinație-inaccesibil, pachet-prea-mare, timp depășit, problemă-parametru, ecou-request, echo-reply, nd-router-solicit, nd-router-advert, nd-neighbor- solicit, nd-neighbor-advert, ind-neighbor-solicit, ind-neighbor-advert } grup de jurnal 2 accept
ip6 nexthdr ipv6-icmp jurnal grup 2 accept
contor pachete 2686 octeți 421604 picătură
}
lanț IPinput {
tip filtru cârlig intrare filtru prioritate + 10; scăderea politicii;
contor pachete 88448 octeți 15799025 coada num 0-3 bypass,fanout
}
lanț înainte {
tip filtru cârlig înainte filtru prioritar; scăderea politicii;
}
ieșire în lanț {
tip filtru cârlig ieșire filtru prioritar; acceptarea politicii;
}
lanț IPSoutput {
tip filtru cârlig ieșire prioritate filtru + 10; scăderea politicii;
contor pachete 76196 octeți 201278628 coada num 0-3 bypass,fanout
}
}
Firewall-ul nftables funcționează bine.
Cu toate acestea, serverele mele nginx nu sunt accesibile prin IPv6. Am folosit diferite instrumente de verificare IPv6 (de ex., https://ipv6-test.com/validate.php) Si deasemenea Qualys ssltest nu poate accesa serverul prin IPv6, cu toate acestea, IPv4 funcționează bine.
Am inclus asculta [::]:80;
(resp. asculta [::]:443;
directivă în fiecare dintre serverele mele nginx. Și netstat -anlp |grep nginx
dă
tcp 0 0 0.0.0.0:80 0.0.0.0:* ASCULTĂ 48846/nginx: master
tcp 0 0 0.0.0.0:443 0.0.0.0:* ASCULTĂ 48846/nginx: master
tcp 0 0 192.168.42.98:443 93.104.163.178:39001 VERBUNDEN 48847/nginx: lucrător
tcp 0 0 192.168.42.98:443 93.104.163.178:39368 VERBUNDEN 48847/nginx: lucrător
tcp 0 0 192.168.42.98:443 93.104.163.178:43086 VERBUNDEN 48847/nginx: lucrător
tcp6 0 0 :::80 :::* ASCULTĂ 48846/nginx: master
tcp6 0 0 :::443 :::* ASCULTĂ 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160451 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160453 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160450 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160448 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160452 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160446 48846/nginx: master
unix 3 [ ] STREAM VERBUNDEN 160449 48846/nginx: master
Pe routerul meu, am activat și IPv6.
Are cineva vreo idee unde ar putea fi problema?