UFW BLOCK O syslog - tcp / ip é bloqueado e isso é permitido no servidor de relatório UFW - GPS TRACKING / TCP / UDP

Question

Bem, eu sou novo nestas coisas, eu tenho procurado uma solução para o meu problema, redefinir e fazê-lo novamente, especificar porta e protocolo, porta e sair com um protocolo, mas não posso.

Informação

problema : Firewall bloquear alguns, não todos, mas alguns ips que estão entrando na porta que eu config para permitir tcp e udp de entrada, vi erros no syslog com tag [UFW BLOCK] SPT=45000 DPT=1563 ...

O que eu quero : apenas abra portas ssh, http e alcance de 1500 a 1600 tcp e udp ...

Como eu configurei

Meus comandos para configurar o firewall para permitir conexões de entrada e saída

ufw allow 22
ufw allow 80
ufw allow 1500:1600/tcp
ufw allow 1500:1600/udp

Status do firewall com o ufw

root@u19312139:~# ufw status
Status: active

To                         Action      From
--                         ------      ----
22                         ALLOW       Anywhere
80                         ALLOW       Anywhere
1500:1600/tcp            ALLOW       Anywhere
1500:1600/udp            ALLOW       Anywhere
22 (v6)                    ALLOW       Anywhere (v6)
80 (v6)                    ALLOW       Anywhere (v6)
1500:1600/tcp (v6)       ALLOW       Anywhere (v6)
1500:1600/udp (v6)       ALLOW       Anywhere (v6)

log do syslog

nota: comando para ver em tempo real apenas as linhas do syslog que têm "UFW"

tail -f /var/log/syslog | grep "UFW"

Meu resultado

[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=52308 DF PROTO=TCP SPT=52572 DPT=1557 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=52309 DF PROTO=TCP SPT=52572 DPT=1557 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=12518 DF PROTO=TCP SPT=62545 DPT=80 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=52310 DF PROTO=TCP SPT=52572 DPT=1557 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=12519 DF PROTO=TCP SPT=62545 DPT=80 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=52311 DF PROTO=TCP SPT=52572 DPT=1557 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=12520 DF PROTO=TCP SPT=62545 DPT=80 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=52312 DF PROTO=TCP SPT=52572 DPT=1557 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=187.237.167.x DST=xx:xx:xx:xx LEN=40 TOS=0x00 PREC=0x00 TTL=115 ID=2280 DF PROTO=TCP SPT=42542 DPT=1563 WINDOW=10880 RES=0x00 ACK URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=189.173.30.x DST=xx:xx:xx:xx LEN=52 TOS=0x00 PREC=0x00 TTL=53 ID=12521 DF PROTO=TCP SPT=62545 DPT=80 WINDOW=1445 RES=0x00 ACK FIN URGP=0
[UFW BLOCK] IN=eth0 OUT= MAC=xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx SRC=187.210.142.x DST=xx:xx:xx:xx LEN=40 TOS=0x00 PREC=0x00 TTL=117 ID=6018 PROTO=TCP SPT=48744 DPT=1563 WINDOW=8160 RES=0x00 ACK URGP=0

Notas:

• SPT = é a porta de origem?.
• DPT é a porta, certo ?, mas é 15xx range, e eu coloco em firewall permitir 1500 a 1600.
• O que posso fazer para corrigir esses problemas, acho que estou fazendo certo, mas o [UFW BLOCK] mostra que o ufw bloqueia a conexão de alguns ips ...

Answer 1

Para o thouse IT, que usa o iptables GPS tracking, resolvi o meu problema permitindo o range de portas com esta solução ....

Alguns relatórios de rastreamento gps para servidor muito, em um período curto de tempo ... e isso irá gerar um pacote inválido, nós queremos permitir a todos eles ...

exemplo:

antes de adicionar regras no arquivo before.rules i excluir portas de intervalo permitido com ufw

ufw delete allow 1500:1600/tcp
ufw delete allow 1500:1600/udp

e, em seguida, edite /etc/ufw/before.rules antes de drop INBALID Packets add permitir portas que você deseja ...

# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-forward -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

# these ports sometimes generate invalid packets, just accept everything for now
-A ufw-before-input -p tcp -m multiport --dports 1500:1600 -j ACCEPT
-A ufw-before-input -p udp -m multiport --dports 1500:1600 -j ACCEPT

# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

Eu adiciono o código para permitir o intervalo ips com o protocolo tcp / udp depois disso fazer um

ufw reload

e veja se são necessárias alterações ... veja iptables -S e iptables -L

nota: permita portas específicas que você tem problemas,

exemplo: se eu quiser permitir portas de intervalo de uma porta específica, mas uma porta xx, mostre-me tags UFW BLOCK em syslog , tail -f /var/logs/syslog | grep "UFW BLOCK" você precisa adicionar essa porta em /etc/ufw/before.rules e em /etc/ufw/before6.rules

adicione apenas que você tem problemas ... não tudo ...

Para quem tem algumas tags como UFW BLOCK com ACK FIN e RST

Comportamento estranho do UFW. Bloqueia algumas solicitações da porta 80 quando é dito que não.

Por que o ufw está registrando mensagens 'BLOCK' em relação a uma porta para a qual o ufw está configurado para conexões 'ALLOW'?

    

Answer 2

Olhando para as suas regras e comparando-as com o seu log, você faz algumas perguntas. Parece que você está tentando controlar todo o tráfego de e para sua interface. O problema aqui é que, se você comparar o pacote bloqueado à sua lista de firewall, terá que encontrar a regra correspondente ao pacote. Todos os pacotes bloqueados têm portas de destino que estão na sua lista, mas portas de origem que não estão. Se meu computador iniciar a comunicação com um servidor da Web http padrão em seu computador, meu destino será a porta 80 e minha origem será um número aleatório, provavelmente na faixa de 50.000+. Vamos apenas dizer que o meu é 62545. Quando o seu servidor web tenta me responder, ele precisa ter permissão para sair da sua interface na porta 80 com destino ao meu 62545. Onde na sua lista de permissões é permitido ter um pacote para 62545 ? Se não houver correspondência, o pacote será bloqueado. Se você olhar a segunda para a última entrada de log exibida, esse é exatamente o cenário que acabei de explicar. Em nenhum lugar na lista você permite que um pacote vá para 62545.

Isso deixa duas coisas a considerar. Um deles, o firewall é significativo, se você iniciar a comunicação da sua interface para uma porta de destino, digamos 80, o pacote de retorno será permitido. O mesmo pacote não pode entrar na sua interface do lado de fora se não for iniciado pela primeira vez a partir do interior. Eu acho que você pode estar tentando controlar muito do seu tráfego de saída. Isso é a menos que, a segunda coisa, você esteja controlando o roteamento entre as interfaces. Se for esse o caso, então a configuração da regra requer mais informações em sua sintaxe (digite: 'man ufw' na linha de comando para obter detalhes). Eu normalmente insiro regras detalhadas como mostrei anteriormente, mas apenas no lado de entrada, porque não estou roteando entre interfaces. A regra detalhada torna mais fácil reavaliar as regras mais tarde, caso surjam dúvidas sobre a configuração do UFW. Tente excluir regras permitidas se você não estiver roteando e verifique se o problema foi resolvido. Eu posso estar errado, mas é assim que eu interpreto o UFW e como eu o uso com sucesso. Boa sorte. espero que isso ajude.