Mengapa saya tidak bisa menggunakan kebijakan TOLAK pada rantai OUTPUT iptables saya?

Saat ini saya memiliki rantai OUTPUT saya yang diatur ke DROP. Saya ingin mengubahnya menjadi TOLAK, sehingga saya memiliki petunjuk bahwa firewall saya menghentikan saya untuk mendapatkan suatu tempat daripada masalah dengan layanan apa pun yang saya coba akses (langsung menolak alih-alih waktu habis). Namun, iptables sepertinya tidak peduli dengan ini. Jika saya mengedit file aturan tersimpan saya secara manual dan mencoba mengembalikannya, saya mendapatkannya iptables-restore v1.4.15: Can't set policy 'REJECT' on 'OUTPUT' line 22: Bad policy namedan menolak memuat aturan. Jika saya mencoba untuk mengatur ini secara manual ( iptables -P OUTPUT REJECT), saya mendapatkan iptables: Bad policy name. Run 'dmesg' for more information.tetapi tidak ada output di dmesg.

Saya telah mengkonfirmasi aturan yang sesuai dikompilasi ke dalam kernel dan saya telah reboot untuk memastikan itu dimuat:

# CONFIG_IP_NF_MATCH_TTL is not set
CONFIG_IP_NF_FILTER=y
***
CONFIG_IP_NF_TARGET_REJECT=y
***
CONFIG_IP_NF_TARGET_LOG=y
CONFIG_IP_NF_TARGET_ULOG=y

(Tanda bintang ditambahkan untuk menyoroti aturan yang berlaku)

Segala sesuatu yang saya dapat temukan menyatakan bahwa TOLAK adalah kebijakan / target yang valid (secara umum), tetapi saya tidak dapat menemukan apa pun yang mengatakan itu tidak valid untuk rantai INPUT, FORWARD, atau OUTPUT. Google-fu saya tidak membantu. Saya menggunakan Gentoo, jika itu ada bedanya. Adakah yang punya wawasan di sini?

REJECTadalah ekstensi target , sedangkan kebijakan berantai harus menjadi target . Halaman manual mengatakan bahwa (meskipun tidak benar-benar jelas), tetapi beberapa dari apa yang dikatakannya salah.

Kebijakan hanya dapat ACCEPTatau DROPpada rantai bawaan. Jika Anda ingin efek menolak semua paket yang tidak cocok dengan aturan sebelumnya, pastikan aturan terakhir cocok dengan semua dan menambahkan aturan dengan REJECTekstensi target. Dengan kata lain, setelah menambahkan semua aturan yang relevan, lakukan iptables -t filter -A OUTPUT -j REJECT.

Lihat utas "apa kebijakan rantai yang mungkin" pada daftar netfilter untuk lebih jelasnya.

Saya tidak dapat menemukannya didokumentasikan, tetapi referensi di sini menunjukkan bahwa satu-satunya kebijakan yang diizinkan adalah ACCEPT atau DROP. Hal ini ditegaskan dengan melihat sumber dari libiptc(yang bertanggung jawab untuk memanipulasi aturan) sekitar garis 2429, di mana kode memiliki

2429         if (strcmp(policy, LABEL_ACCEPT) == 0)
2430                 c->verdict = -NF_ACCEPT - 1;
2431         else if (strcmp(policy, LABEL_DROP) == 0)
2432                 c->verdict = -NF_DROP - 1;
2433         else {
2434                 errno = EINVAL;
2435                 return 0;
2436         }

Utas asli menyarankan hal terbaik yang harus dilakukan adalah menambahkan TOLAK di akhir rantai yang seharusnya iptables -A OUTPUT -j REJECT.

Perhatikan bahwa kode sebelum ini adalah:

2423         if (!iptcc_is_builtin(c)) {
2424                 DEBUGP("cannot set policy of userdefinedchain `%s'\n", chain);
2425                 errno = ENOENT;
2426                 return 0;
2427         }
2428 

Jadi, Anda tidak dapat menetapkan kebijakan pada rantai yang Ditetapkan Pengguna sama sekali.

REJECTpada OUTPUTtidak masuk akal; a REJECTakan mengembalikan paket ICMP yang perlu melintasi jaringan.

Tambahkan baru -j LOGsebagai aturan terakhir Anda (karena itu sebelum DROPkebijakan) untuk melihat apa yang sejauh ini dalam OUTPUTrantai.