Problemas que permitem multicast de saída no ufw

Question

Estou com problemas para configurar o firewall descomplicado (ufw) para permitir tráfego multicast de saída. Estou bloqueando todas as conexões de entrada e saída como a política padrão. Eu complementei as regras listadas abaixo. No entanto, recebo essas mensagens de erro repetidas duas vezes depois de cada inicialização do sistema:

Erros (repetidos duas vezes durante a inicialização):

[UFW BLOCK] IN= OUT=eth0 SRC=192.168.0.2 DST=224.0.0.22 LEN=40 TOS=0x00 PREC=0xC0 TTL=1 ID=0 DF PROTO=2

[UFW BLOCK] IN= OUT=eth0 SRC=fe80:0000:0000:0000:f66d:feee:feee:feee DST=ff02:0000:0000:0000:0000:0000:0000:0002 LEN=56 TC=0 HOPLIMIT=255 FLOWLBL=0 PROTO=ICMPv6 TYPE=133 CODE=0

[UFW BLOCK] IN= OUT=eth0 SRC=fe80:0000:0000:0000:f66d:04ff:feee:df54 DST=ff02:0000:0000:0000:0000:0000:0000:0016 LEN=96 TC=0 HOPLIMIT=1 FLOWLBL=0 PROTO=ICMPv6 TYPE=143 CODE=0

Regras principais:

ufw allow out proto udp to 224.0.0.0/3
ufw allow out proto udp to ff00::/8
ufw allow in  proto udp to 224.0.0.0/3
ufw allow in  proto udp to ff00::/8

em

/etc/ufw/user.rules:
-A ufw-before-input  -p igmp -d 224.0.0.0/3 -j ACCEPT
-A ufw-before-output -p igmp -d 224.0.0.0/3 -j ACCEPT

e em

/etc/ufw/user6.rules:
-A ufw6-before-input  -p icmpv6 -d ff00::/8 -j ACCEPT
-A ufw6-before-output -p icmpv6 -d ff00::/8 -j ACCEPT

    

Answer 1

SRC = fe80:0000 : 0000:0000 : f66d:04ff : feee:df54
DST = ff02:0000 : 0000:0000 : 0000:0000 : 0000:0016

Acho que esses números devem estar dentro do número ff00::/8 . Eu não sei se eles são.

Ou talvez você queira tentar " Meu player UPnP não pode ver o MediaTomb, o que está errado ?" ' s regras. Embora eles sejam para uma necessidade que parece o inverso ...

    

Answer 2

Eu vi mensagens semelhantes no log e fiz o seguinte:

para

/etc/ufw/before.rules

eu adicionei

\# allow igmp codes from my local sub-net
-A ufw-before-input -p igmp -m ttl --ttl-eq 1 -j ACCEPT

e para

/etc/ufw/before6.rules

\# allow multicast group membership maintenance
-A ufw6-before-output -p icmpv6 --icmpv6-type 130 -m hl --hl-eq 1 -j ACCEPT
-A ufw6-before-output -p icmpv6 --icmpv6-type 131 -m hl --hl-eq 1 -j ACCEPT
-A ufw6-before-output -p icmpv6 --icmpv6-type 132 -m hl --hl-eq 1 -j ACCEPT
-A ufw6-before-output -p icmpv6 --icmpv6-type 143 -m hl --hl-eq 1 -j ACCEPT

e

\# allow multicast group membership maintenance go in as well
-A ufw6-before-input -p icmpv6 --icmpv6-type 130 -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type 131 -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type 132 -j ACCEPT
-A ufw6-before-input -p icmpv6 --icmpv6-type 143 -j ACCEPT

Observe, entretanto, que as mensagens foram bloqueadas onde as consultas de participação no grupo são feitas no roteador local, não tenho nenhum programa em execução que use multicast IP. Mas as entradas de log sumiram, afinal.