iptables icmp-host-proibido

Question

Estou tendo problemas com o meu iptables. Minha máquina virtual não pode executar o ping 8.8.8.8, mas pode executar ping no gateway padrão. Eu tentei excluir as regras que estão rejeitando o ICMP na cadeia FORWARD e INPUT e, ainda assim, tenho um problema.

Minhas regras de iptables de VM:

# Generated by iptables-save v1.4.21 on Mon Feb 19 11:20:36 2018
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [34:5269]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -s 192.168.56.0/24 -p icmp -m icmp --icmp-type 8 -m state --state 
NEW,RELATED,ESTABLISHED -j ACCEPT
-A INPUT -s 192.168.56.0/24 -p tcp -m tcp --dport 22 -j ACCEPT
COMMIT
# Completed on Mon Feb 19 11:20:36 2018

Minha máquina host possui as seguintes regras configuradas:

# Generated by iptables-save v1.4.21 on Mon Feb 19 16:01:15 2018
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8:752]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Mon Feb 19 16:01:15 2018

    

Answer 1

Não tenho certeza de qual é a sua pergunta. E você precisa definir melhor suas interfaces tanto na VM quanto no host e nas configurações da sua rede vm. Você está ligando para o seu tráfego? Seu host pode pingar 8.8.8.8?

Para descartar problemas com o filtro de pacotes, desative as restrições do iptables em ambos os lados:

iptables -P INPUT ACCEPT; iptables -P FORWARD ACCEPT; iptables -P OUTPUT ACCEPT
iptables -F INPUT; iptables -F FORWARD; iptables -F OUTPUT

Então, quando as coisas começarem a funcionar, você poderá começar a restringir o tráfego como desejar.

O iptables da sua máquina virtual parece OK para o tráfego ICMP, embora você normalmente não precise definir a política do FORWARD como DROP, a menos que tenha ativado o ip_forward.

No host ... isso depende da configuração.