Iptables: 나가는 트래픽을 conntrack 및 소유자와 일치시킵니다. 이상한 물방울과 함께 작동

내 iptables 스크립트에서 나는 가능한 한 세분화된 규칙을 작성하려고 노력해 왔습니다. 부분적으로는 보안을 위해, 부분적으로는 학습 연습으로 어떤 사용자가 어떤 서비스를 사용할 수 있는지 제한합니다.

3.6.2 커널을 실행하는 Debian 6.0.6에서 iptables v1.4.16.2를 사용합니다.

그런데 도저히 이해할 수 없는 문제에 봉착했습니다...

모든 사용자를 위한 발신 포트

이것은 매우 잘 작동합니다. 일반적인 상태 추적 규칙이 없습니다.

## 나가는 포트 81
$IPTABLES -A 출력 -p tcp --dport 81 -m conntrack --ctstate 신규, 설정됨 -j 수락
$IPTABLES -A 입력 -p tcp --sport 81 -s $MYIP -m conntrack --ctstate 설립 -j 수락

나가는 포트 일치 사용자

## 사용자 계정의 나가는 포트 80
$IPTABLES -A 출력 --match owner --uid-owner useraccount -p tcp --dport 80 -m conntrack --ctstate 신규, 확립됨 --sport 1024:65535 -j accept
$IPTABLES -A 입력 -p tcp --sport 80 --dport 1024:65535 -d $MYIP -m conntrack --ctstate 설립 -j 수락

이렇게 하면 "useraccount" 계정만 포트 80을 사용할 수 있지만 TCP 트래픽에 대한 이러한 규칙에는 문제가 있습니다.

## 기본 발신 로그 + 차단 규칙
$IPTABLES -A 출력 -j log --log-prefix "BAD OUTGOING" --log-ip-options --log-tcp-options --log-uid
$IPTABLES -A 출력 -j 삭제

질문

위 작업이 작동하고 사용자 "useraccount"가 파일을 완벽하게 가져올 수 있습니다. 시스템의 다른 사용자는 포트 80으로 나가는 연결을 설정할 수 없습니다.

useraccount@host:$ wget http://cachefly.cachefly.net/10mb.test

그러나 위의 wget은 내 시스템 로그에 x7 삭제된 항목을 남겼습니다.

Oct 18 02:00:35 xxxx 커널: 나가는 오류 IN= OUT=eth0 SRC=xx.xx.xx.xx DST=205.234.175.175 LEN=40 TOS=0x00 PREC=0x00 TTL=64 ID=12170 DF PROTO=TCP SPT=37792 DPT=80 SEQ=164520678 ACK=3997126942 WINDOW=979 RES=0x00 ACK URGP=0  

UDP 트래픽에 대한 유사한 규칙에 대해서는 이러한 삭제 메시지가 표시되지 않습니다. DNS 요청을 할 수 있는 사람을 제한하는 규칙을 설정했습니다.

삭제된 나가는 ACK 패킷은 루트 계정(URGP=0)에서 오는 것 같은데, 이해할 수 없습니다. 사용자 계정을 루트로 바꾸더라도.

conntrack이 3-way handshake의 3단계 이후에 연결 추적을 시작하기 때문에 ACK 패킷이 새 패킷으로 분류된다고 생각하는데 왜 삭제됩니까?

이러한 방울을 무시해도 안전합니까?

편집하다

그래서 나는 종종 나에게 잘 맞는 다음과 같은 규칙을 봅니다.

$IPTABLES -A 출력 -s $MYIP -p tcp -m tcp --dport 80 -m 상태 --신규, 확립됨 -j 수락
$IPTABLES -A 입력 -p tcp -m tcp --sport 80 -d $MYIP -m 상태 --상태 설정됨 -j 수락

상태 일치가 더 이상 사용되지 않기 때문에 "-m state --state"를 "-m conntrack --ctstate"로 대체했습니다.

보편적인 상태 추적 규칙을 갖는 것이 모범 사례입니까? 위의 규칙이 올바른 것으로 간주되지 않습니까?

나가는 사용자 연결을 엄격하게 제어하려면 이와 같은 것이 더 좋을까요?

$IPTABLES -A 입력 -m conntrack --ctstate 설정됨 -j 수락
$IPTABLES -A 출력 -m conntrack --ctstate 설정됨 -j 수락

$IPTABLES -A 출력 -p tcp --dport 80 -s $SERVER_IP_TUNNEL -m conntrack --ctstate NEW -m owner --uid-owner useraccount -j ACCEPT

$IPTABLES -A 출력 -p tcp --dport 80 -s $SERVER_IP_TUNNEL -m conntrack --ctstate NEW -m owner --uid-owner otheraccount -j ACCEPT