เหตุใด SSH จึงหยุดทำงานเมื่อใช้กฎ nftables ต่อไปนี้

$cat /etc/nftables.conf
#!/usr/sbin/nft -f

ล้างชุดกฎ

ไฟร์วอลล์ IP ตาราง {
  อินพุตลูกโซ่ {
    ประเภท ตัวกรอง เบ็ด ตัวกรองลำดับความสำคัญอินพุต; นโยบายลดลง;
    iif "lo" ยอมรับ
    iif != "lo" ip daddr 127.0.0.0/8 ดร็อป
    tcp dport 22 ยอมรับ
    ct รัฐจัดตั้งขึ้นที่เกี่ยวข้องยอมรับ
  }

  ห่วงโซ่ไปข้างหน้า {
    ประเภทตัวกรอง hook ตัวกรองลำดับความสำคัญไปข้างหน้า; นโยบายลดลง;
  }

  เอาต์พุตลูกโซ่ {
    ประเภทตัวกรองลำดับความสำคัญของเอาต์พุตของตะขอตัวกรอง; นโยบายลดลง;
    iif "lo" ยอมรับ
    udp dport { 53, 123 } ยอมรับ
    tcp dport { 53, 80, 443 } ยอมรับ
    ct รัฐจัดตั้งขึ้นที่เกี่ยวข้องยอมรับ
  }
}

ในที่สุดการเชื่อมต่อก็ใช้งานได้ แต่ใช้เวลานานกว่าที่คาดไว้มาก

วิ่ง สมุดรายวันctl -f, เข้าใจแล้ว systemd[1]: ไม่สามารถเริ่ม User Manager สำหรับ UID 1000 ก่อนที่การเชื่อมต่อจะถูกสร้างขึ้นในที่สุด

ถ้าฉันวิ่ง ชุดกฎ nft flushการเชื่อมต่อใช้งานได้ทันที

พบปัญหา⦠พิมพ์ผิด เอาท์พุทโซ่. iif "lo" ยอมรับ ควรจะเป็น oif "lo" ยอมรับ.

สำหรับการเชื่อมต่อขาเข้า แพ็กเก็ตขาเข้าภายนอกทั้งหมดตรงกับกฎนี้:

iif != "lo" ip daddr 127.0.0.0/8 ดร็อป

เนื่องจากพวกเขามาบนอินเทอร์เฟซซึ่งไม่ใช่ลูปแบ็คในเครื่องและที่อยู่ปลายทางไม่ได้อยู่ในเครือข่าย 127.0.0.0/8 ฉันรู้สึกประหลาดใจที่มันยังคงดำเนินต่อไปแม้หลังจากหมดเวลาไประยะหนึ่ง เว้นแต่คุณจะเปิดใช้งาน IPv6 ด้วย

สำหรับการเชื่อมต่อขาออกที่เริ่มต้นในเครื่องทั้งหมดซึ่งไม่ใช่ DNS, NTP, HTTP และ HTTPS - การเชื่อมต่อจะเป็นไปตามนโยบายการปล่อยเชนเอาต์พุต อีกครั้ง - พวกเขาไม่ควรทำงานเลยเว้นแต่คุณจะเปิดใช้งาน IPv6 ด้วย