Michael Dukelsky написал(а) к All в Apr 19 17:50:32 по местному времени:

Привет, All!

В iptables есть ветка forward_int. В частности, в этой ветке есть строчки

-A forward_int -p tcp -m conntrack --ctstate RELATED,ESTABLISНED -j ACCEPT
-A forward_int -p udp -m conntrack --ctstate RELATED,ESTABLISНED -j ACCEPT
...
-A forward_int -s x.x.x.x/nn -o br0 -p tcp -m tcp --dport 443 -m conntrack --ctstate NEW -j ACCEPT
-A forward_int -s x.x.x.x/nn -o br0 -p udp -m udp --dport 443 -m conntrack --ctstate NEW -j ACCEPT
...
-A forward_int -j LOG --log-prefix "FWD-INT-ILL-ROUTING " --log-tcp-options --log-ip-options --log-uid
-A forwardint -j rejectfunc
...
-A reject_func -p tcp -j REJECT --reject-with tcp-reset
-A reject_func -p udp -j REJECT --reject-with icmp-port-unreachable
-A reject_func -j REJECT --reject-with icmp-proto-unreachable

При этом в /var/log/messages присутствуют строчки типа

FWD-INT-ILL-ROUTING IN=br1 OUT=br0 MAC=... SRC=y.y.y.y DST=z.z.z.z LEN=40 TOS=0x00 PREC=0x00 TTL=127 ID=15984 DF PROTO=TCP SPT=56085 DPT=443 WINDOW=258 RES=0x00 ACK FIN URGP=0
FWD-INT-ILL-ROUTING IN=br1 OUT=br0 MAC=... SRC=y.y.y.y DST=z.z.z.z LEN=40 TOS=0x00 PREC=0x00 TTL=127 ID=16024 DF PROTO=TCP SPT=56085 DPT=443 WINDOW=0 RES=0x00 ACK RST URGP=0
FWD-INT-ILL-ROUTING IN=br1 OUT=br0 MAC=... SRC=y.y.y.y DST=z.z.z.z LEN=1378 TOS=0x00 PREC=0x00 TTL=62 ID=18022 DF PROTO=UDP SPT=35971 DPT=443 LEN=1358

При этом адреса SRC=y.y.y.y лежат в диапазоне x.x.x.x/nn, указанном в iptables.

Что это значит? Почему пакеты просачиваются через фильтр?

Желаю успехов, All!
За сим откланиваюсь, Michael.

... node (at) f1042 (dot) ru
--- GoldED+/LNX 1.1.5-b20170303