Entendendo os pacotes descartados pelo iptables do puppetmaster

3

Estou vendo pacotes sendo descartados durante meu cliente de marionetes executado em uma base semi regular. E eu não entendo o que está causando isso. Devo mencionar que o Puppet está gerenciando as regras do firewall através do módulo puppetlabs / firewall. Mas as regras não parecem estar sendo alteradas. Com essa afirmação, a depuração de marionetes não mostra que as regras estão sendo removidas e adicionadas, as contagens de pacotes continuam antes que o agente fantoche seja executado e a exibição das regras durante a execução do agente de marionetes não mostra nenhuma mudança de regra durante a execução. / p>

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0            /* 000 accept all icmp */
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            /* 001 accept all to lo interface */
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            /* 002 accept related established rules */ state RELATED,ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            multiport ports 22 /* 100 allow ssh access */
ACCEPT     tcp  --  172.xx.xx.xx         0.0.0.0/0            multiport ports 5666 /* 101 allow nrpe access from 172.xx.xx.xx */
ACCEPT     tcp  --  69.xx.xx.xx          0.0.0.0/0            multiport ports 5666 /* 101 allow nrpe access from 69.xx.xx.xx */
ACCEPT     tcp  --  192.168.116.0/24     192.168.116.0/24     multiport ports 3306 /* 300 allow MySQL BackNet */
LOG        tcp  --  0.0.0.0/0            0.0.0.0/0            /* 301 log all other BackNet requests */ LOG flags 0 level 6 prefix "[IPTABLES INPUT] dropped "
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            /* 302 drop all other BackNet requests */
LOG        tcp  --  0.0.0.0/0            0.0.0.0/0            /* 998 log all other requests */ LOG flags 0 level 6 prefix "[IPTABLES INPUT] dropped "
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            /* 999 drop all other requests */

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            /* 002 accept related established rules OUT */ state RELATED,ESTABLISHED
ACCEPT     tcp  --  172.31.100.0/23      172.31.100.0/23      multiport ports 389,636 /* 351 allow LDAPNet OUT */
ACCEPT     tcp  --  192.168.116.0/24     192.168.116.0/24     multiport ports 3306 /* 351 allow MySQL BackNet OUT */
LOG        tcp  --  0.0.0.0/0            0.0.0.0/0            /* 352 drop all other BackNet requests OUT */ LOG flags 0 level 6 prefix "[IPTABLES OUTPUT] dropped "
LOG        tcp  --  0.0.0.0/0            0.0.0.0/0            /* 352 drop all other LDAPNet requests OUT */ LOG flags 0 level 6 prefix "[IPTABLES OUTPUT] dropped "
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            /* 353 drop all other BackNet requests OUT */
DROP       tcp  --  0.0.0.0/0            0.0.0.0/0            /* 353 drop all other LDAPNet requests OUT */

E eu estou vendo pacotes descartados no cliente de marionetes, do mestre de marionetes. logado como:

Aug 13 14:22:19 int-vs-repo kernel: [91935.669812] [IPTABLES INPUT] dropped IN=eth0 OUT= MAC=00:50:56:bc:0c:4c:00:e0:b6:00:44:f6:08:00 SRC=PuppetMasterIP DST=Local_IP LEN=64 TOS=0x00 PREC=0x00 TTL=63 ID=48739 DF PROTO=TCP SPT=8140 DPT=40069 WINDOW=749 RES=0x00 ACK URGP=0
Aug 13 14:22:19 int-vs-repo kernel: [91935.670108] [IPTABLES INPUT] dropped IN=eth0 OUT= MAC=00:50:56:bc:0c:4c:00:e0:b6:00:44:f6:08:00 SRC=PuppetMasterIP DST=Local_IP LEN=64 TOS=0x00 PREC=0x00 TTL=63 ID=48740 DF PROTO=TCP SPT=8140 DPT=40069 WINDOW=749 RES=0x00 ACK URGP=0
Aug 13 14:22:19 int-vs-repo kernel: [91935.670134] [IPTABLES INPUT] dropped IN=eth0 OUT= MAC=00:50:56:bc:0c:4c:00:e0:b6:00:44:f6:08:00 SRC=PuppetMasterIP DST=Local_IP LEN=64 TOS=0x00 PREC=0x00 TTL=63 ID=48741 DF PROTO=TCP SPT=8140 DPT=40069 WINDOW=749 RES=0x00 ACK URGP=0
Aug 13 14:22:19 int-vs-repo kernel: [91935.670409] [IPTABLES INPUT] dropped IN=eth0 OUT= MAC=00:50:56:bc:0c:4c:00:e0:b6:00:44:f6:08:00 SRC=PuppetMasterIP DST=Local_IP LEN=64 TOS=0x00 PREC=0x00 TTL=63 ID=48742 DF PROTO=TCP SPT=8140 DPT=40069 WINDOW=749 RES=0x00 ACK URGP=0

Eu não estou muito preocupado com esses pacotes específicos, mas planejo mover mais máquinas para ter regras de iptables controladas centralmente e estou preocupado que este seja um indicador de um problema que não pode ser ignorado. Parece que todos os pacotes caíram assim são os incrementos de ACK e ID em um, ou seja, parece que uma conexão está se perdendo no meio, e que a regra ESTABLISHED, RELACIONADA, deve permitir esses pacotes.

Aug 14 21:52:19 int-vs-repo kernel: [205448.464080] [IPTABLES INPUT 998] dropped IN=eth0 OUT= MAC=00:50:56:bc:0c:4c:00:e0:b6:00:44:f6:08:00 SRC=PuppetMasterIP DST=PuppetClientIP LEN=64 TOS=0x00 PREC=0x00 TTL=63 ID=40139 DF PROTO=TCP SPT=8140 DPT=52532 WINDOW=726 RES=0x00 ACK URGP=0
Aug 14 21:52:19 int-vs-repo kernel: [205448.464110] [IPTABLES INPUT 998] dropped IN=eth0 OUT= MAC=00:50:56:bc:0c:4c:00:e0:b6:00:44:f6:08:00 SRC=PuppetMasterIP DST=PuppetAgentIP LEN=64 TOS=0x00 PREC=0x00 TTL=63 ID=40140 DF PROTO=TCP SPT=8140 DPT=52532 WINDOW=726 RES=0x00 ACK URGP=0
    
por Corvar 14.08.2015 / 01:13

0 respostas