Назад | Перейти на главную страницу

Почему эта конфигурация iptables препятствует работе munin?

Я создал конфигурацию iptables, которую, как мне казалось, я понял, однако, похоже, это мешает munin генерировать графики, и я не уверен, почему. Если я отключу iptables, munin будет генерировать графики, как ожидалось. Я включил свою конфигурацию iptables и конфигурацию munin. Кто-нибудь видит, как блокируется мунин? Munin должен подключаться и прослушивать только устройство loopback.

Конфигурация iptables:

*filter

# Drop everything by default
:INPUT DROP [0:0]

# We are not routing packets
:FORWARD DROP [0:0]

# Don't filter output
:OUTPUT ACCEPT [0:0]

# Add the fail2ban chain
:fail2ban-SSH - [0:0]

# Drop NULL packets
-A INPUT -p tcp --tcp-flags ALL NONE -j DROP

# Reject a syn-flood attack
-A INPUT -p tcp ! --syn -m state --state NEW -j DROP

# Drop XMAS packets
-A INPUT -p tcp --tcp-flags ALL ALL -j DROP

# We want the response packets...
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Accept all from loopback
-A INPUT -i lo -j ACCEPT

# Send packets for port 22 to fail2ban, it may drop them
-A INPUT -p tcp -m tcp --dport 22 -j fail2ban-SSH
-A fail2ban-SSH -j RETURN
# If fail2ban didn't drop it let it on through
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

# HTTP(S)
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

Соответствующая часть конфигурации munin:

# A list of addresses that are allowed to connect.  This must be a
# regular expression, since Net::Server does not understand CIDR-style
# network notation unless the perl module Net::CIDR is installed.  You
# may repeat the allow line as many times as you'd like

allow ^127\.0\.0\.1$
allow ^::1$

# Which address to bind to;
host *
# host 127.0.0.1

# And which port
port 4949

На странице руководства по iptables:

каждый пакет проходит только через одну из трех цепочек (за исключением кольцевого трафика, который включает в себя цепочки INPUT и OUTPUT);

Другими словами, как вы сейчас обнаружили, петлевой трафик перехватывается iptables ...

Я бы предложил примерно следующее:

-A INPUT -p tcp -m tcp -s 127.0.0.1 -d 127.0.0.1 --dport 4949 -j ACCEPT