大佬教程收集整理的这篇文章主要介绍了linux – 为什么iptables拒绝允许数据包的第二个和后续片段？，大佬教程大佬觉得挺不错的，现在分享给大家，也给大家做个参考。
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -m udp -p udp --dport 500 -j ACCEPT -A INPUT -m udp -p udp --dport 4500 -j ACCEPT #..... -A INPUT -j REjeCT --reject-with icmP6-port-unreachable
但是,密钥交换永远不会成功.每一方都不断尝试一遍又一遍地重传UDP数据包,从不听到响应,直到他们最终放弃.
我在一端启动了tcpdump并观察到UDP数据包被分段,并且在第二个片段进入后返回了一个ICMP端口无法访问.
这种失败的交换的一个例子(为保护而消毒)：
04:00:43.311572 IP6 (hlim 51,next-header Fragment (44) payload length: 1240) 2001:db8::be6b:d879 > 2001:db8:f:608::2: frag (0x5efa507c:0|1232) ipsec-nat-t > ipsec-nat-t: NOnesP-encap: isakmp 2.0 msgid 00000001 cookie 55fa7f39522011ef->f8259707aad5f995: child_sa ikev2_auth[I]: [|v2e] (len mismatch: isakmp 1596/ip 1220) 04:00:43.311597 IP6 (hlim 51,next-header Fragment (44) payload length: 384) 2001:db8::be6b:d879 > 2001:db8:f:608::2: frag (0x5efa507c:1232|376) 04:00:43.311722 IP6 (hlim 64,next-header ICMPv6 (58) payload length: 432) 2001:db8:f:608::2 > 2001:db8::be6b:d879: [icmP6 sum ok] ICMP6,desTination unreachable,length 432,unreachable port[|icmP6]
防火墙记录了以下有关此数据包的信息：
Aug 26 04:00:43 grummle kernel: iptables: REjeCT IN=eth0 OUT= MAC=############### SRC=2001:0db8:0000:0000:0000:0000:be6b:d879 DST=2001:0db8:000f:0608:0000:0000:0000:0002 LEN=424 TC=0 HOPLIMIT=51 FLOWLBL=0 OPT ( FRAG:1232 ID:5efa507c ) PROTO=UDP
我的印象是Linux在将片段传递给数据包过滤器之前会自动重新组合片段.那么为什么这些碎片没有被重新组装,因此第二个碎片随后被拒绝了？
这使得解决问题变得容易和明显(无论如何,回想起来).只需将连接跟踪添加到相关的防火墙规则即可.
-A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT -A INPUT -m conntrack --ctstate NEW -m udp -p udp --dport 500 -j ACCEPT -A INPUT -m conntrack --ctstate NEW -m udp -p udp --dport 4500 -j ACCEPT
或者对于较旧的Linux系统(例如rHel 5及更早版本)：
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT -A INPUT -m state --state NEW -m udp -p udp --dport 500 -j ACCEPT -A INPUT -m state --state NEW -m udp -p udp --dport 4500 -j ACCEPT
以上是大佬教程为你收集整理的linux – 为什么iptables拒绝允许数据包的第二个和后续片段？全部内容，希望文章能够帮你解决linux – 为什么iptables拒绝允许数据包的第二个和后续片段？所遇到的程序开发问题。
如果觉得大佬教程网站内容还不错，欢迎将大佬教程推荐给程序员好友。
本图文内容来源于网友网络收集整理提供，作为学习参考使用，版权属于原作者。
如您有任何意见或建议可联系处理。小编QQ：384754419，请注明来意。