web-dev-qa-db-ja.com

iptables + iptables_netflow：iptablesがnetflowエクスポートをブロックしていますか？

OpenSuSE 11.3でiptablesファイアウォールを実行しています。最近、トラフィックの監視とアカウンティングに興味を持ち、ファイアウォールにiptables_netflowモジュールをインストールし、別のサーバーにWANGuardプラットフォームをインストールしました。 iptables_netflowモジュールが構築およびインストールされ、データが集約されます。/proc/slabinfoと/ proc/net/stat/ipt_netflowで統計の変化を確認できます。 WANGuardが動作することを確認するためにしばらくの間NetFlowデータをエクスポートしていたので、WANGuardは設定され、動作しています。ただし、ファイアウォールからWANGuardサーバーへのNetFlowエクスポートを取得できません。私のiptables設定がそれをブロックしている可能性がありますか？ iptables_netflowはUDPポート2055でエクスポートします。iptables-L-nの出力（ファイアウォール上）

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
NETFLOW    all  --  0.0.0.0/0            0.0.0.0/0           NETFLOW 
FW-1-INPUT  all  --  0.0.0.0/0            0.0.0.0/0           

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
NETFLOW    all  --  0.0.0.0/0            0.0.0.0/0           NETFLOW 
ACCEPT     all  --  192.168.3.0/24       0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 255 
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-Host-prohibited 

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         
NETFLOW    all  --  0.0.0.0/0            0.0.0.0/0           NETFLOW 

Chain FW-1-INPUT (1 references)
target     prot opt source               destination         
NETFLOW    all  --  0.0.0.0/0            0.0.0.0/0           NETFLOW 
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           
ACCEPT     udp  --  192.168.3.0/24       0.0.0.0/0           udp dpt:161 
ACCEPT     tcp  --  192.168.3.0/24       0.0.0.0/0           tcp dpt:161 
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 255 
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:7788 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:694 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:53 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:53 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:53 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:53 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:53 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:53 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:67 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:68 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:1194 
ACCEPT     tcp  --  xx.xx.xx.xx        0.0.0.0/0           tcp dpt:5666 
ACCEPT     tcp  --  xx.xx.xx.xx        0.0.0.0/0           tcp dpt:5666 
ACCEPT     udp  --  xx.xx.xx.xx        0.0.0.0/0           udp dpt:123 
ACCEPT     udp  --  xx.xx.xx.xx        0.0.0.0/0           udp dpt:123 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp multiport dports 4569,5060 
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp multiport dports 4569,5060 
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           state NEW tcp dpt:22 
REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-Host-prohibited

送信元/宛先のホストとポートを指定するOUTPUTテーブルでいくつかのルールを試しましたが、うまくいきませんでした。

WANGuardサーバーにはno iptablesルールがあります。

ファイアウォールでtcpdumpを使用し、WANGuardサーバーのIPをgrepすると、

openvpn01:/home/gjones # tcpdump -i eth0 |grep 192.168.3.194
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 65535 bytes
13:27:57.103687 IP openvpn01.dev.59531 > 192.168.3.194.iop: UDP, length 1464
13:27:57.302686 IP openvpn01.dev.59531 > 192.168.3.194.iop: UDP, length 1464
13:27:57.802683 IP openvpn01.dev.59531 > 192.168.3.194.iop: UDP, length 1464
13:27:58.503707 IP openvpn01.dev.59531 > 192.168.3.194.iop: UDP, length 1464
13:27:59.103688 IP openvpn01.dev.59531 > 192.168.3.194.iop: UDP, length 1464

ファイアウォールで「netstat-na」を実行し、「2055」（netflow宛先ポート）を探します

udp        0      0 192.168.3.112:59531     192.168.3.194:2055      ESTABLISHED

WANGuardサーバーでは、同じことを行います。

# netstat -na |grep 2055
udp        0      0 192.168.3.194:51139     192.168.3.194:2055      ESTABLISHED 
udp        0      0 192.168.3.194:2055      0.0.0.0:*

Gaumireのリクエストにより、こちらも「netstat-uan」です。

Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address           Foreign Address         State      
udp        0      0 192.168.3.194:51139     192.168.3.194:2055      ESTABLISHED 
udp        0      0 192.168.3.194:2055      0.0.0.0:*                           
udp        0      0 0.0.0.0:111             0.0.0.0:*                           
udp        0      0 192.168.3.194:123       0.0.0.0:*                           
udp        0      0 127.0.0.2:123           0.0.0.0:*                           
udp        0      0 127.0.0.1:123           0.0.0.0:*                           
udp        0      0 0.0.0.0:123             0.0.0.0:*                           
udp        0      0 0.0.0.0:161             0.0.0.0:*                           
udp        0      0 0.0.0.0:631             0.0.0.0:*                           
udp        0      0 0.0.0.0:851             0.0.0.0:*                           
udp        0      0 :::111                  :::*                                
udp        0      0 ::1:123                 :::*                                
udp        0      0 fe80::2a0:d1ff:fee1:123 :::*                                
udp        0      0 :::123                  :::*                                
udp        0      0 :::851                  :::*

WANGuardサーバーでnetflowエクスポーターも構成したことに注意してください。これは機能しているようです（WANGuardでデータを取得します）。

WANGuardのログを確認すると、「予期しないPDU：src_ip = 192.168.3.112が構成されていません」というエラーが表示されます。Googleは検出したものを何も表示しません。

誰かがエラーがどこにあるのかを理解するのを手伝ってもらえますか？

ありがとう、

ケンドール

linuxiptablesnetflow
2
Kendall

Iptablesの設定がブロックされているかどうかを確認するには、通常、iptablesを一時的に無効にすることをお勧めします（もちろんNETFLOWルールを除く）。重要なカーネル/モジュールメッセージがあるかもしれないので、dmesgもチェックしてください。古いバージョンのNETFLOWモジュールでは、sysctl net.netflow.destinationが設定されている必要がありますafterインターフェイスがアップしています。 destinationを手動で設定して確認してください。または、最新バージョンのモジュールを git repo （tar.gzからではない）から試してください。ドロップされたフローまたはソケットエラーがないか、cat /proc/net/stat/ipt_netflowでモジュール統計を確認してください。

1
catpnosis

Openvpn01.devとホスト192.168.3.194の間にファイアウォールまたはそのようなデバイスがある可能性がありますか？ダイアグラムが役立ちます。 iptablesの出力がwanguardサーバーのものである場合ポリシーはACCEPTに設定されているため、問題になることはありません。

あなたが言及したサービスはサーバー上で実行されていますか。 rootとして以下のコマンドを発行してください。

#netstat -tupan | grep 'LIST\|*'
1
Gaumire