Ping: sendmsg: erreur d'opération non autorisée après l'installation d'iptables sur Arch GNU / Linux

Question

Hier, j'ai eu un nouvel ordinateur comme serveur domestique, un microserveur HP Proliant. Installé Arch Linux dessus, avec la version du noyau 3.2.12.

Après avoir installé iptables (1.4.12.2 - la version actuelle AFAIK) et changé le net.ipv4.ip_forward clé à 1, et permettant le transfert dans le fichier de configuration iptables (et le redémarrage), le système ne peut utiliser aucune de ses interfaces réseau. Ping échoue avec

Ping: sendmsg: operation not permitted

Si je supprime complètement iptables, la mise en réseau est correcte, mais je dois partager la connexion Internet au réseau local.

eth0 - wan NIC intégré sur la carte mère (Broadcom NetXtreme BCM5723).

eth1 - lan NIC dans un emplacement pci-express (Intel 82574L Gigabit Network)

Comme il fonctionne sans iptables (le serveur peut accéder à Internet et je peux me connecter avec ssh depuis le réseau interne), je suppose qu'il a quelque chose à voir avec iptables. Je n'ai pas beaucoup d'expérience avec iptables, donc je les ai utilisés comme référence (séparés les uns des autres bien sûr ...):

wiki.archlinux.org/index.php/Simple_stateful_firewall#Setting_up_a_NAT_gateway

revsys.com/writings/quicktips/nat.html

howtoforge.com/nat_iptables

Sur mon serveur précédent, j'ai utilisé le guide revsys pour configurer nat, fonctionnait comme un charme.

Quelqu'un a déjà vécu quelque chose comme ça avant? Qu'est-ce que je fais mal?

Khaled · Accepted Answer

Le message d'erreur:

Ping: sendmsg: operation not permitted

signifie que votre serveur n'est pas autorisé à envoyer des paquets ICMP. Vous devez autoriser votre serveur à envoyer du trafic via une ou plusieurs des interfaces configurées. Vous pouvez le faire en:

Définissez OUTPUT stratégie de chaîne sur ACCEPT pour autoriser tout le trafic sortant de votre box:
```
Sudo iptables -P OUTPUT ACCEPT 
```
Définissez OUTPUT stratégie de chaîne sur DROP, puis autorisez de manière sélective le type de trafic dont vous avez besoin.

Cela s'applique à toutes les chaînes non seulement à la chaîne OUTPUT. INPUT chain contrôle le trafic reçu par votre box. FORWARD chaîne traite le trafic acheminé via la boîte.

David Ferenczy Rogožan · Answer

Pour moi, sur Debian 9, cela n'a aidé qu'à réinstaller ping:

apt-get install --reinstall iputils-ping