[Comm] Ложное сообщение о недоступности цели iptables

[Comm] Ложное сообщение о недоступности цели iptables

[Michael A. Kangin]

Добрый день.

2.6.18-ovz-smp-alt26.M40.2
vzctl-3.0.22-alt2

Имеем разрешенный модуль в /etc/vz/vz.conf:
IPTABLES=".... xt_multiport"

При старте сервиса vz модуль подгружается. При входе в VE vzctl хоть и 
ругается, что модуль неизвестный, но функциональность его проявляется:
# cat /proc/net/ip_tables_matches
recent
multiport          <---- почему-то два раза
multiport
mac
...

При этом, при попытке написать правило, использующее -m multiport:
# iptables -A INPUT -p tcp -m multiport --dports 20,21,22,23 -j REJECT
FATAL: Could not load /lib/modules/2.6.18-ovz-smp-alt26.M40.2/modules.dep: No 
such file or directory
# echo $?
0
# iptables -L -nv
Chain INPUT (policy ACCEPT 10 packets, 1776 bytes)
 pkts bytes target     prot opt in     out     source               
destination
FATAL: Could not load /lib/modules/2.6.18-ovz-smp-alt26.M40.2/modules.dep: No 
such file or directory
    2   104 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           
multiport dports 20,21,22,23 reject-with icmp-port-unreachable

Появляется ссылка использования у модуля в HN:
# lsmod |grep mult
xt_multiport            7552  1

И само правило, собственно, работает.


Вопрос: на кого багу вешать?

-- 
wbr, Michael A. Kangin

Re: [Comm] Ложное сообщение о недоступности цели iptables

[Slava Dubrovskiy]

[-- Attachment #1: Type: text/plain, Size: 1894 bytes --]

Michael A. Kangin пишет:
> Добрый день.
>
> 2.6.18-ovz-smp-alt26.M40.2
> vzctl-3.0.22-alt2
>
> Имеем разрешенный модуль в /etc/vz/vz.conf:
> IPTABLES=".... xt_multiport"
>
> При старте сервиса vz модуль подгружается. При входе в VE vzctl хоть и 
> ругается, что модуль неизвестный, но функциональность его проявляется:
> # cat /proc/net/ip_tables_matches
> recent
> multiport          <---- почему-то два раза
> multiport
> mac
> ...
>
> При этом, при попытке написать правило, использующее -m multiport:
> # iptables -A INPUT -p tcp -m multiport --dports 20,21,22,23 -j REJECT
> FATAL: Could not load /lib/modules/2.6.18-ovz-smp-alt26.M40.2/modules.dep: No 
> such file or directory
> # echo $?
> 0
> # iptables -L -nv
> Chain INPUT (policy ACCEPT 10 packets, 1776 bytes)
>  pkts bytes target     prot opt in     out     source               
> destination
> FATAL: Could not load /lib/modules/2.6.18-ovz-smp-alt26.M40.2/modules.dep: No 
> such file or directory
>     2   104 REJECT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0           
> multiport dports 20,21,22,23 reject-with icmp-port-unreachable
>
> Появляется ссылка использования у модуля в HN:
> # lsmod |grep mult
> xt_multiport            7552  1
>
> И само правило, собственно, работает.
>
>
> Вопрос: на кого багу вешать?
>   
Этот модуль вы в HN как загружаете? Он должен быть загружен (например из
/etc/sysconfig/iptables_modules) до того как стартанет сервис vz. Это
известные грабли.

-- 
WBR,
Dubrovskiy Vyacheslav


[-- Attachment #2: S/MIME Cryptographic Signature --]
[-- Type: application/x-pkcs7-signature, Size: 3262 bytes --]

Re: [Comm] Ложное сообщение о недоступности цели iptables

[Michael A. Kangin]

On Monday 05 January 2009 20:14:51 Slava Dubrovskiy wrote:

> > 2.6.18-ovz-smp-alt26.M40.2
> > vzctl-3.0.22-alt2
> >
> > Имеем разрешенный модуль в /etc/vz/vz.conf:
> > IPTABLES=".... xt_multiport"
> >
> > При старте сервиса vz модуль подгружается. При входе в VE vzctl хоть и
> > ругается, что модуль неизвестный, но функциональность его проявляется:
> > # cat /proc/net/ip_tables_matches
> > recent
> > multiport          <---- почему-то два раза
> > multiport
> > mac
> > ...
> >
> > При этом, при попытке написать правило, использующее -m multiport:
> > # iptables -A INPUT -p tcp -m multiport --dports 20,21,22,23 -j REJECT
> > FATAL: Could not load
> > /lib/modules/2.6.18-ovz-smp-alt26.M40.2/modules.dep: No such file or
> > directory
> > # echo $?
> > 0
> > # iptables -L -nv
> > Chain INPUT (policy ACCEPT 10 packets, 1776 bytes)
> >  pkts bytes target     prot opt in     out     source
> > destination
> > FATAL: Could not load
> > /lib/modules/2.6.18-ovz-smp-alt26.M40.2/modules.dep: No such file or
> > directory
> >     2   104 REJECT     tcp  --  *      *       0.0.0.0/0           
> > 0.0.0.0/0 multiport dports 20,21,22,23 reject-with icmp-port-unreachable
> >
> > Появляется ссылка использования у модуля в HN:
> > # lsmod |grep mult
> > xt_multiport            7552  1
> >
> > И само правило, собственно, работает.
> >
> >
> > Вопрос: на кого багу вешать?
>
> Этот модуль вы в HN как загружаете? 

Сейчас оно грузится самим сервисом vz (из IPTABLES= в vz.conf)

> Он должен быть загружен (например из 
> /etc/sysconfig/iptables_modules) до того как стартанет сервис vz. 

Спасибо, попробую при случае.

> Это известные грабли.

Так на какой компонент багу вешать?


-- 
wbr, Michael A. Kangin