☰

중복된 iptables 규칙이 첫 번째 발생보다 더 많이 일치하는 이유는 무엇입니까?

tag-icon • tag-icon iptables docker
중복된 iptables 규칙이 첫 번째 발생보다 더 많이 일치하는 이유는 무엇입니까?

나는 iptables에서 이상한 동작을 관찰하기 위해 docker swarm을 사용하고 있습니다. 아마도 누군가 거기에서 무슨 일이 일어나고 있는지 설명할 수 있을 것입니다. iptables -Z FORWARD먼저 다음을 사용하여 FORWARD 체인의 카운터를 지웁니다 iptables -L FORWARD -n -v --line-numbers.

Chain FORWARD (policy DROP 0 packets, 0 bytes)
num   pkts bytes target     prot opt in     out     source               destination         
1     115K   62M DOCKER-USER  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
2    57041   57M DOCKER-INGRESS  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
3    1299K 1009M DOCKER-USER  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
4    1299K 1009M DOCKER-ISOLATION-STAGE-1  all  --  *      *       0.0.0.0/0            0.0.0.0/0           
5        0     0 ACCEPT     all  --  *      docker0  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
6        0     0 DOCKER     all  --  *      docker0  0.0.0.0/0            0.0.0.0/0           
7        0     0 ACCEPT     all  --  docker0 !docker0  0.0.0.0/0            0.0.0.0/0           
8        0     0 ACCEPT     all  --  docker0 docker0  0.0.0.0/0            0.0.0.0/0           
9     154K  159M ACCEPT     all  --  *      docker_gwbridge  0.0.0.0/0            0.0.0.0/0            ctstate RELATED,ESTABLISHED
10    5420  299K DOCKER     all  --  *      docker_gwbridge  0.0.0.0/0            0.0.0.0/0           
11   1140K  850M ACCEPT     all  --  docker_gwbridge !docker_gwbridge  0.0.0.0/0            0.0.0.0/0           
12       0     0 DROP       all  --  docker_gwbridge docker_gwbridge  0.0.0.0/0            0.0.0.0/0

규칙 1과 규칙 3이 동일한지 확인하기 위해 다음을 실행했습니다 iptables -S FORWARD.

-P FORWARD DROP
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-INGRESS
-A FORWARD -j DOCKER-USER
-A FORWARD -j DOCKER-ISOLATION-STAGE-1
-A FORWARD -o docker0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker0 -j DOCKER
-A FORWARD -i docker0 ! -o docker0 -j ACCEPT
-A FORWARD -i docker0 -o docker0 -j ACCEPT
-A FORWARD -o docker_gwbridge -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -o docker_gwbridge -j DOCKER
-A FORWARD -i docker_gwbridge ! -o docker_gwbridge -j ACCEPT
-A FORWARD -i docker_gwbridge -o docker_gwbridge -j DROP

중복된 규칙이 가끔 발생한다는 것을 알고 있지만 규칙의 두 번째 발생이 첫 번째 발생(115K)보다 더 많은 패킷(1299K)을 계산하는 이유는 무엇입니까?

관련 정보