Я создал конфигурацию iptables, которую, как мне казалось, я понял, однако, похоже, это мешает munin генерировать графики, и я не уверен, почему. Если я отключу iptables, munin будет генерировать графики, как ожидалось. Я включил свою конфигурацию iptables и конфигурацию munin. Кто-нибудь видит, как блокируется мунин? Munin должен подключаться и прослушивать только устройство loopback.
Конфигурация iptables:
*filter
# Drop everything by default
:INPUT DROP [0:0]
# We are not routing packets
:FORWARD DROP [0:0]
# Don't filter output
:OUTPUT ACCEPT [0:0]
# Add the fail2ban chain
:fail2ban-SSH - [0:0]
# Drop NULL packets
-A INPUT -p tcp --tcp-flags ALL NONE -j DROP
# Reject a syn-flood attack
-A INPUT -p tcp ! --syn -m state --state NEW -j DROP
# Drop XMAS packets
-A INPUT -p tcp --tcp-flags ALL ALL -j DROP
# We want the response packets...
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# Accept all from loopback
-A INPUT -i lo -j ACCEPT
# Send packets for port 22 to fail2ban, it may drop them
-A INPUT -p tcp -m tcp --dport 22 -j fail2ban-SSH
-A fail2ban-SSH -j RETURN
# If fail2ban didn't drop it let it on through
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
# HTTP(S)
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
Соответствующая часть конфигурации munin:
# A list of addresses that are allowed to connect. This must be a
# regular expression, since Net::Server does not understand CIDR-style
# network notation unless the perl module Net::CIDR is installed. You
# may repeat the allow line as many times as you'd like
allow ^127\.0\.0\.1$
allow ^::1$
# Which address to bind to;
host *
# host 127.0.0.1
# And which port
port 4949
На странице руководства по iptables:
каждый пакет проходит только через одну из трех цепочек (за исключением кольцевого трафика, который включает в себя цепочки INPUT и OUTPUT);
Другими словами, как вы сейчас обнаружили, петлевой трафик перехватывается iptables ...
Я бы предложил примерно следующее:
-A INPUT -p tcp -m tcp -s 127.0.0.1 -d 127.0.0.1 --dport 4949 -j ACCEPT