Наткнулся на непонятное поведение netfilter. Допустим, есть 4 сервера на centos6 настроенные абсюлютно аналогично. Первые два отсылают логи на третий, на третьем настроен postrouting
(см. правила ниже) на четвёртый, четвёртый же просто коллекционирует их (на нём не настроен netfilter).
Странность заключается в том, что я вижу трафик syslog
от первого (10.0.0.1) сервера по всей цепочке, но в то же время трафик второго (10.0.0.2) в полном объёме есть на третьем (192.168.0.5) сервере с postrouting
, но он не перенаправляет его на четвёртый (192.168.0.6) и в iptables -nvL -t nat
счётчики не инкрементируются на нём. Если быть точным, то перенаправляет только какие-то определённые сообщения syslog
- auth.info
, а, например, user.info
перенаправлять не хочет. Но ведь это же бред, netfilter не занимается разбором уровня логгирования.
iptables-save третьего
# Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
*mangle
:PREROUTING ACCEPT [113944481:33094585962]
:INPUT ACCEPT [36662612:8817293771]
:FORWARD ACCEPT [77275595:24276061507]
:OUTPUT ACCEPT [20980539:14824196963]
:POSTROUTING ACCEPT [98253790:39099771398]
COMMIT
# Completed on Fri Apr 27 14:31:48 2018
# Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [77275534:24276051904]
:OUTPUT ACCEPT [20980520:14824192939]
-A INPUT -p tcp -m tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -p icmp -m icmp --icmp-type 0 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 3 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 4 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 30 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 192.168.0.0/19 -j ACCEPT
-A INPUT -s 10.0.0.0/24 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Fri Apr 27 14:31:48 2018
# Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
*nat
:PREROUTING ACCEPT [1068499:66961971]
:POSTROUTING ACCEPT [653110:39701523]
:OUTPUT ACCEPT [2512:193995]
-A PREROUTING -s 10.0.0.1/32 -d 192.168.0.5/32 -p udp -m udp --dport 514 -j DNAT --to-destination 192.168.0.6:514
-A PREROUTING -s 10.0.0.20/32 -d 192.168.0.5/32 -p udp -m udp --dport 514 -j DNAT --to-destination 192.168.0.6:514
-A PREROUTING -s 10.0.0.2/32 -d 192.168.0.5/32 -p udp -m udp --dport 514 -j DNAT --to-destination 192.168.0.6:514
COMMIT
# Completed on Fri Apr 27 14:31:48 2018
# Generated by iptables-save v1.4.7 on Fri Apr 27 14:31:48 2018
*raw
:PREROUTING ACCEPT [113944408:33094574090]
:OUTPUT ACCEPT [20980533:14824201419]
-A PREROUTING -p dccp -j NOTRACK
-A OUTPUT -p dccp -j NOTRACK
COMMIT
# Completed on Fri Apr 27 14:31:48 2018
Примеры дампов с третьего сервера [От первого к третьему]
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
14:43:13.467236 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 112
14:43:13.467249 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 112
14:43:13.467252 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 112
14:43:13.523133 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 89
14:43:13.523133 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 89
14:43:13.523142 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 89
14:43:13.523144 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 89
14:43:13.523317 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 79
14:43:13.523317 IP 10.0.0.1.15598 > 192.168.0.5.514: SYSLOG user.info, length: 79
14:43:13.523326 IP 10.0.0.1.15598 > 192.168.0.6.514: SYSLOG user.info, length: 79
[От второго к третьему]
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on any, link-type LINUX_SLL (Linux cooked), capture size 65535 bytes
14:43:25.861971 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 112
14:43:25.876292 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 134
14:43:25.876292 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 134
14:43:25.876512 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 90
14:43:25.876512 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 90
14:43:25.876680 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 78
14:43:25.876680 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 78
14:43:25.876857 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 85
14:43:25.876857 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 85
14:43:25.876993 IP 10.0.0.2.18469 > 192.168.0.5.514: SYSLOG user.info, length: 98