Pourquoi ne puis-je pas utiliser la politique REJECT sur ma chaîne de sortie iptables?

J'ai actuellement ma chaîne OUTPUT réglée sur DROP. Je voudrais le changer en REJETER, afin d'avoir une idée que c'est mon pare-feu qui m'empêche d'accéder à quelque chose plutôt qu'un problème avec le service auquel j'essaie d'accéder (rejet immédiat au lieu de temporiser). Cependant, iptables ne semble pas s'en soucier. Si j'édite manuellement mon fichier de règles enregistré et que j'essaye de le restaurer, j'obtiens iptables-restore v1.4.15: Can't set policy 'REJECT' on 'OUTPUT' line 22: Bad policy nameet il refuse de charger les règles. Si j'essaye de régler ceci manuellement ( iptables -P OUTPUT REJECT), j'obtiens iptables: Bad policy name. Run 'dmesg' for more information.mais il n'y a aucune sortie dans dmesg.

J'ai confirmé que la règle appropriée est compilée dans le noyau et j'ai redémarré pour m'assurer qu'elle est chargée:

# CONFIG_IP_NF_MATCH_TTL is not set
CONFIG_IP_NF_FILTER=y
***
CONFIG_IP_NF_TARGET_REJECT=y
***
CONFIG_IP_NF_TARGET_LOG=y
CONFIG_IP_NF_TARGET_ULOG=y

(Des astérisques ont été ajoutés pour mettre en évidence la règle applicable)

Tout ce que je peux trouver indique que REJETER est une politique / cible valide (en général), mais je ne trouve rien qui dise qu'il n'est pas valide pour les chaînes INPUT, FORWARD ou OUTPUT. Mon Google-fu n'aide pas. Je suis sur Gentoo, si cela fait une différence. Quelqu'un ici a une idée?

REJECTest une extension cible , tandis qu'une stratégie de chaîne doit être une cible . La page de manuel dit que (bien que ce ne soit pas vraiment clair), mais une partie de ce qu'elle dit est complètement fausse.

La politique ne peut être que sur ACCEPTou DROPsur des chaînes intégrées. Si vous voulez avoir pour effet de rejeter tous les paquets qui ne correspondent pas aux règles précédentes, assurez-vous simplement que la dernière règle correspond à tout et ajoute une règle avec une REJECTextension cible. En d'autres termes, après avoir ajouté toutes les règles pertinentes, faites-le iptables -t filter -A OUTPUT -j REJECT.

Voir le fil "quelles sont les politiques de chaîne possibles" sur la liste netfilter pour plus de détails.

Je n'ai pas pu le trouver documenté, mais une référence ici indique que les seules politiques autorisées sont ACCEPTor DROP. Ceci est confirmé en regardant la source de libiptc(qui est responsable de la manipulation des règles) autour de la ligne 2429, où le code a

2429         if (strcmp(policy, LABEL_ACCEPT) == 0)
2430                 c->verdict = -NF_ACCEPT - 1;
2431         else if (strcmp(policy, LABEL_DROP) == 0)
2432                 c->verdict = -NF_DROP - 1;
2433         else {
2434                 errno = EINVAL;
2435                 return 0;
2436         }

Le fil d' origine suggère que la meilleure chose à faire est d'ajouter REJECT à la fin de la chaîne qui devrait l'être iptables -A OUTPUT -j REJECT.

Notez que le code juste avant c'est:

2423         if (!iptcc_is_builtin(c)) {
2424                 DEBUGP("cannot set policy of userdefinedchain `%s'\n", chain);
2425                 errno = ENOENT;
2426                 return 0;
2427         }
2428 

Vous ne pouvez donc pas du tout définir la stratégie sur une chaîne définie par l'utilisateur.

REJECTon OUTPUTn'a aucun sens; a REJECTrenverra un paquet ICMP qui devra traverser un réseau.

Ajoutez un nouveau -j LOGcomme dernière règle (donc avant la DROPpolitique) pour voir ce qui arrive si loin dans la OUTPUTchaîne.