drbd的iptables规则

Question

我正在为iptables配置INPUT和OUTPUT链上的默认iptables策略，并试图为通过drbd镜像数据的两个服务器配置适当的iptables规则。

资源配置：

resource data {
    on data001 {
        device /dev/drbd0;
        disk /dev/mapper/vg--system-data;
        meta-disk internal;
        address 10.0.0.10:7788;
    }
    on data002 {
        device /dev/drbd0;
        disk /dev/mapper/vg--system-data;
        meta-disk internal;
        address 10.0.0.11:7788;
    }
}

对于iptables，在两个drbd节点上都设置了以下规则：

-A INPUT -p tcp -s 10.0.0.10 --sport 7788 -j ACCEPT
-A OUTPUT -p tcp -d 10.0.0.10 --dport 7788 -j ACCEPT
-A INPUT -p tcp -s 10.0.0.11 --sport 7788 -j ACCEPT
-A OUTPUT -p tcp -d 10.0.0.11 --dport 7788 -j ACCEPT

但是，drbd无法正确地在主机之间建立连接。将两台主机上的默认策略更新为ACCEPT的工作原理与预期相同。

Answer 1

您应该允许ESTABLISHED连接用于INPUT和OUTPUT。此外，对于连接的设置，您需要允许具有目的地端口7788的数据包，包括传出和传入的数据包。

<#>编辑

-A INPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A INPUT -p tcp -s 10.0.0.10 --dport 7788 -j ACCEPT
-A INPUT -p tcp -s 10.0.0.11 --dport 7788 -j ACCEPT
-A OUTPUT -m conntrack --ctstate ESTABLISHED -j ACCEPT
-A OUTPUT -p tcp -d 10.0.0.10 --dport 7788 -j ACCEPT
-A OUTPUT -p tcp -d 10.0.0.11 --dport 7788 -j ACCEPT