[SOLVED] LXC-Firewall hat keinen Effekt

[dekiesel]

Hi,


Ich versuche die outgoing connections eines LXC derart zu unterbinden, dass er nur noch auf einen bestimmten Host auf zwei bestimmten Ports zugreifen kann.

LXC1 -------------------tcp 1883/8883--------------->LXC2

Dazu habe ich

• Firewall im Datacenter aktiviert
• Firewall der Node auf der der LXC läuft aktiviert
• Firewall des LXC aktiviert
• Firewall der vNIC aktiviert.

Leider greifen die Regeln nicht.

systemctl pve-firewall restart habe ich auch bereits versucht.

root@pve:~# pct config 107
...
features: keyctl=1,nesting=1
net1: name=eth101,bridge=vmbr0,firewall=1,hwaddr=16:09:17:F7:EC:34,ip=dhcp,tag=101,type=veth
ostype: alpine
unprivileged: 1
...
root@pve:~#

Hier die fw-Regeln:

root@pve:/# cat ./etc/pve/firewall/107.fw
[OPTIONS]


log_level_out: nolog
enable: 1
ipfilter: 0


[RULES]


OUT ACCEPT -i net1 -dest 10.1.101.5 -p tcp -dport 8883 -log nolog # allow connection to mqtt.lan on 8883
OUT ACCEPT -i net1 -dest 10.1.101.5 -p tcp -dport 1883 -log nolog # allow connection to mqtt.lan on 1883
OUT DROP -i net1 -dest 10.1.101.164 -p tcp -log debug # disallow anything else


root@pve:/#

Falls irgendjemand weiss was ich falsch mache würde ich mich über Hilfe freuen.

 

[dekiesel]

Problem gelöst.

Erstmal war die DROP regel falsch, aber damit habe ich die Verbindung getestet (wollte nur drauf hinweisen).

Das eigentliche Problem war, dass die Regeln anscheinend nicht direkt greifen sondern eine Minute (ca) brauchen. Ich habe aber direkt nach dem Verändern der Regeln getestet und da haben die neuen Regeln noch nicht gegriffen.

Lösung war also Geduld haben.

 

[CoolTux]

Die Regeln greifen sofort, aber immer nur bei neu angelegten Verbindungen. Bereits bestehende bleiben davon aus.

 

[dekiesel]

Die Regeln greifen sofort, aber immer nur bei neu angelegten Verbindungen. Bereits bestehende bleiben davon aus.

Danke für die Info. Dann verstehe ich nicht wieso eine direkt ssh-Verbindung erst zugelassen wird. Wenn ich ein wenig warte wird sie gedroppt.

 

[CoolTux]

Schau Dir doch die Regeln an. Also die iptables Regel.
iptables -L

zeigt Dir alle. Wird aber etwas lang sein.

 

[Chris]

Danke für die Info. Dann verstehe ich nicht wieso eine direkt ssh-Verbindung erst zugelassen wird. Wenn ich ein wenig warte wird sie gedroppt.

Firewall rules werden nicht sofort applied, das pve-firewall service generiert die rules alle paar Sekunden neu, derzeit sind dies 10 Sekunden laut https://git.proxmox.com/?p=pve-fire...6374b207cccf98ee7c0159ad50b178998;hb=HEAD#l39