É necessário que o iptables nat envie o icmp e outros protocolos?

Question

Alguns exemplos da configuração do iptables para NAT não fornecem informações sobre o encaminhamento de pacotes ICMP, alguns manuais sugerem

-A FORWARD -i in -o out  -p icmp -m icmp --icmp-type 8  -j ACCEPT 

configuração do ufw (mesmo que não seja usado como roteador) no filtro. As subcategorias FORWARD seguem

ACCEPT     icmp --  anywhere             anywhere             icmp destination-unreachable
ACCEPT     icmp --  anywhere             anywhere             icmp source-quench
ACCEPT     icmp --  anywhere             anywhere             icmp time-exceeded
ACCEPT     icmp --  anywhere             anywhere             icmp parameter-problem
ACCEPT     icmp --  anywhere             anywhere             icmp echo-request

Então, o que é certo? E quanto a outros protocolos como o igmp, etc?

    

Answer 1

Não mexa nessas coisas: NAT é para conversão de endereço, o padrão iptables table filter é sobre a filtragem de pacotes.

Se a pergunta é: qual filtro eu preciso para fazer o NAT funcionar? A resposta é: nenhuma. Não existem tais ligações entre tabelas. É claro, você precisa adicionar regras para fazer com que os pacotes fluam através do seu sistema, caso contrário, o componente NAT estará pronto, mas ocioso (sem filtro = sem pacotes).

Assim, o NAT funcionará mesmo se você proibir o ICMP e outros protocolos. É claro que algumas mensagens ICMP são úteis para fazer as coisas funcionarem (por exemplo, a descoberta do MTU do caminho usa o ICMP e, se você bloquear todas as mensagens do ICMP, a conexão estará muito quebrada). Ainda assim, isso não tem nada a ver com o NAT: você tem os mesmos problemas, mesmo que você não use NAT e mexa com filter table.

Você pode encontrar algumas informações sobre o bloqueio de ICMP aqui: link

Em suma, você pode permitir:

• Solicitação de eco / resposta
• Fragmentação necessária
• Tempo excedido

No IPv6, você precisa permitir também o NDP e o SLAAC.