Webアクセス保護とiptables
問題
Webアクセス保護は、nftablesを使用して、送信接続をスキャナーにリダイレクトし、そこでHTTPトラフィックを検査します。
一部のお客様において、CentOS 7などのカーネル4.18より前のディストリビューションでWAPがiptables NATルールに干渉する場合に問題が発生しました。この問題は、iptablesとnftablesの両方で同時NATルールをサポートしていない以前のLinuxカーネルのバグが原因で発生します。NATの非互換性を参照してください。
|
Centos 7は2024年6月にサポート終了になります。 |
|
古いRHEL/CentOS 7マイナーリリースでESET Server Security for Linuxをインストールすると、ネットワーク接続が完全に失われ、コンピューターを再起動するか、nftablesルールを手動で削除する必要があります。 |
回避策1
カーネル4.18以降のLinuxディストリビューション(Rocky Linux 8 など)を使用します。
回避策2
iptablesルールをnftablesに変換します。iptablesからnftablesへの移行の記事を参照してください。NAT出力チェーンが発信接続に最初に適用されるようにするには、WAP出力NATチェーンの優先度が「-101」であるため、「-102」以下の優先度番号を使用することをお勧めします。
回避策がない場合は、Webアクセス保護を無効にして、iptables NATを機能させる必要があります(推奨されません)。