Am un VM Ubuntu care servește ca peer WireGuard. Rețeaua mea are doar portul meu WireGuard redirecționat către VM-ul meu (51820 la 192.168.1.2).Cred că iptable-urile mele (mai jos) sunt configurate pentru a permite doar (1) SSH de la LAN-ul meu (2) conexiuni la portul meu WireGuard (3) SSH de la peer-ul meu WG (4) trafic legat/stabilit și (5) trafic loopback.
Cu toate acestea, încă se pare că renunț la conexiunile de intrare către porturi non-WireGuard, așa:
Feb 14 03:42:08 wireguard kernel: [672816.748776] DROPPED IN=ens3 OUT= MAC=b0:a4:66:b9:e6:0b:1b:73:02:d8:fa:6f:08:00 SRC= 90.114.208.130 DST=192.168.1.2 LEN=40 TOS=0x00 PREC=0x00 TTL=50 ID=44010 DF PROTO=TCP SPT=443 DPT=34548 WINDOW=0 RES=0x00 RST
MAC și SRC au fost randomizate; cu toate acestea, prima parte a MAC este adresa MAC a interfeței ens3 a VM-ului meu. A doua parte este aproape de MAC-ul routerului meu (ultimul caracter este diferit).
Întrebare: Cum poate exista chiar și o solicitare de conectare la porturi altul decât 51820 când routerul meu are un singur port deschis și redirecționat? Routerul nu ar arunca pur și simplu acele pachete, deoarece porturile (de exemplu, 34548) nu sunt deschise?
iptables (pentru referință):
INTRARE în lanț (politica DROP 310 pachete, 24890 octeți)
num pkts octeți target prot opt in out sursă destinație
1 3155 218K ACCEPT tcp -- ens3 * 192.168.1.0/24 0.0.0.0/0 tcp dpt:22 ctstate NOU, INSTALAT
2 0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp dpt:51820
3 0 0 ACCEPT tcp -- wg0 * 10.6.0.2 0.0.0.0/0 tcp dpt:22 ctstate NOU,STABILIT
4 175K 398M ACCEPT pe toate -- * * 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,STABLISHED
5 266 19635 ACCEPT toate -- lo * 0.0.0.0/0 0.0.0.0/0
6 310 24890 LOG all -- * * 0.0.0.0/0 0.0.0.0/0 LOG semnalizatoare 0 nivel 4 prefix „DROPPED”
Lanț FORWARD (politica DROP 0 pachete, 0 octeți)
num pkts octeți target prot opt in out sursă destinație
1 0 0 WG_wg0 toate -- * * 0.0.0.0/0 0.0.0.0/0
IEȘIRE în lanț (politica ACCEPTĂ 23M pachete, 32G octeți)
num pkts octeți target prot opt in out sursă destinație
Lanț WG_wg0 (1 referințe)
num pkts octeți target prot opt in out sursă destinație
1 0 0 ACCEPT toate -- * wg0 0.0.0.0/0 0.0.0.0/0 ctstate RELATED,STABLISHED
2 0 0 ACCEPT pe toate -- wg0 * 10.6.0.2 0.0.0.0/0
3 0 0 DROP all -- wg0 * 0.0.0.0/0 0.0.0.0/0
4 0 0 RETURN all -- * * 0.0.0.0/0 0.0.0.0/0
