[3/5] UFW에서 막았는데 왜 통신됐을까 — nftables로 다시 만든 신뢰 경계

문제 재현

방화벽 구성 요소

1. Docker는 iptables backend를 사용하며 DOCKER-USER, DOCKER-FORWARD 등의 chain을 만들었다.

2. Ubuntu의 iptables 명령은 iptables-nft 호환 backend를 통해 nf_tables 커널 인프라에 규칙을 표현할 수 있었다.

3. 별도의 native nft 문법으로 table inet filter를 작성했다.

Netfilter hook별 처리 대상

• Windows VM이 Linux 서버의 SSH나 서비스에 접근하면 INPUT이다.

• Windows VM이 Linux를 경유해 Tailnet·WAN·Docker로 가면 FORWARD다.

• Linux가 Windows VM에 먼저 연결하면 OUTPUT이다.

base chain priority와 verdict

chain forward {
    type filter hook forward priority -5; policy drop;
}

• 서비스가 만든 앞단 chain에서는 “허용 후보”를 packet mark로 표시한다.

• 마지막 native inet filter에서 state·mark·명시적 서비스 규칙을 확인한다.

• 어느 조건에도 맞지 않으면 마지막 base chain의 policy drop이 verdict를 내린다.

필터링 요구사항

/etc/nftables.conf

#!/usr/sbin/nft -f

define IF_INTERNAL = "enx00e04c637a20"   # VM 1:1 내부망
define IF_WAN      = "enp1s0"            # 외부 NIC
define IF_TS       = "tailscale0"         # Tailscale NIC
define IF_foxirain4 = "foxirain4"
define VM_IP       = 10.10.0.20

# Docker 브리지 세트
define DOCKER_BR   = { "docker0", "br-042225748a2d", "foxirain4" }

# 마크 네임스페이스: 상위 바이트만 사용
define MARK_NS_MASK = 0xFF000000
define MARK_ALLOW   = 0x01000000
define MARK_KEEP_MASK = 0x00FFFFFF

# 당시 방화벽에 허용한 Sunshine/Moonlight 포트 세트
define S_TCP = { 47984-47990, 48010 }
define S_UDP = { 47998-48010 }

flush chain ip filter DOCKER-USER

table ip filter {
  chain DOCKER-USER {
    # Docker published port의 DNAT 흐름
    ct status dnat oifname $DOCKER_BR       meta mark set (meta mark & $MARK_KEEP_MASK) | $MARK_ALLOW

    # Docker bridge에서 WAN으로 나가는 egress
    iifname $DOCKER_BR oifname $IF_WAN       meta mark set (meta mark & $MARK_KEEP_MASK) | $MARK_ALLOW

    # foxirain4에서 Windows 분석망으로 나가는 흐름
    iifname $IF_foxirain4 oifname $IF_INTERNAL       meta mark set (meta mark & $MARK_KEEP_MASK) | $MARK_ALLOW
  }
}

table inet filter {
  chain input {
    type filter hook input priority filter + 1; policy drop;

    jump IN-STATE
    jump IN-LO
    jump IN-SSH
    jump IN-TS

    iif $IF_INTERNAL counter drop       comment "block VM->server (host services)"
  }

  chain IN-STATE {
    ct state { established, related } counter accept
    return
  }

  chain IN-LO {
    iif "lo" counter accept
    return
  }

  chain IN-SSH {
    iif $IF_WAN tcp dport 22 ct state new       meter ssh4_per_ip {
        ip saddr limit rate 6/minute burst 3 packets
      }       counter accept comment "SSH v4"

    iif $IF_WAN tcp dport 22 ct state new       meter ssh6_per_ip {
        ip6 saddr limit rate 6/minute burst 3 packets
      }       counter accept comment "SSH v6"

    return
  }

  chain IN-TS {
    iif $IF_TS counter accept       comment "allow tailscale mgmt to server"
    return
  }

  chain forward {
    type filter hook forward priority filter + 1; policy drop;

    jump FWD-STATE
    jump FWD-DOCKER
    jump FWD-TS
    jump FWD-VM
  }

  chain FWD-STATE {
    ct state { established, related } counter accept
    return
  }

  chain FWD-DOCKER {
    meta mark & 0xFF000000 == 0x01000000       counter accept comment "marked by DOCKER-USER"

    iifname $IF_INTERNAL oifname $IF_foxirain4       ip saddr 10.10.0.20       tcp dport 31234       ct state new       counter accept       comment "foxirain5 -> foxirain4 gdbserver"

    return
  }

  chain FWD-TS {
    iif $IF_TS oif $IF_INTERNAL       ip daddr $VM_IP       tcp dport $S_TCP       counter accept comment "TS->VM TCP (Moonlight)"

    iif $IF_TS oif $IF_INTERNAL       ip daddr $VM_IP       udp dport $S_UDP       counter accept comment "TS->VM UDP (Moonlight)"

    iif $IF_TS oif $IF_INTERNAL       ip daddr $VM_IP       tcp dport 22       counter accept comment "TS->VM SSH"

    iif $IF_INTERNAL oif $IF_TS       ip saddr $VM_IP       tcp dport $S_TCP       counter accept comment "VM->TS TCP (Sunshine)"

    iif $IF_INTERNAL oif $IF_TS       ip saddr $VM_IP       udp dport $S_UDP       counter accept comment "VM->TS UDP (Sunshine)"

    iif $IF_INTERNAL oif $IF_TS       counter drop comment "block VM->TS other ports"

    iif $IF_TS oif $IF_INTERNAL       counter drop comment "block TS->VM other ports"

    return
  }

  chain FWD-VM {
    iif $IF_INTERNAL       counter drop comment "block VM->* routed"
    return
  }

  chain output {
    type filter hook output priority 0; policy accept;
  }
}

INPUT chain

input policy drop
  ├─ IN-STATE : 이미 허용된 세션의 응답
  ├─ IN-LO    : loopback
  ├─ IN-SSH   : WAN SSH, IP별 6/minute burst 3
  ├─ IN-TS    : tailscale0에서 Linux로 들어오는 관리 트래픽
  └─ internal : Windows 분석망에서 Linux 호스트로 오는 신규 연결 DROP

FORWARD chain

FWD-STATE
  → FWD-DOCKER
    → FWD-TS
      → FWD-VM
        → policy drop

1. FWD-STATE가 기존 허용 세션의 응답을 처리한다.

2. FWD-DOCKER가 Docker mark와 TCP 31234 예외를 처리한다.

3. FWD-TS가 Tailnet ↔ Windows의 명시적 서비스 포트를 처리한다.

4. FWD-VM이 분석 NIC에서 시작한 나머지 라우팅을 모두 버린다.

5. 어떤 사용자 chain도 허용하지 않은 패킷은 base chain policy drop으로 끝난다.

Docker chain–native nftables packet mark 연동

define MARK_ALLOW = 0x01000000
define MARK_KEEP_MASK = 0x00FFFFFF

meta mark set   (meta mark & $MARK_KEEP_MASK) | $MARK_ALLOW

meta mark & 0xFF000000 == 0x01000000 accept

흐름별 verdict

현재 ruleset의 과도한 허용 범위

• VM → Tailnet의 역방향 스트리밍 규칙은 목적지 IP가 없어 동일 목적 포트를 연 Tailnet 장비가 대상이 될 수 있다.

• gdbserver 예외는 목적지 10.20.0.10을 명시하지 않아 foxirain4의 TCP 31234 리스너 전체가 대상이다.

• foxirain4 → 분석 NIC의 mark는 목적지·포트가 없어 Docker에서 Windows 방향 신규 흐름을 넓게 허용한다.

• Tailnet → Linux INPUT은 tailscale0 전체를 관리망으로 신뢰한다.

• OUTPUT policy accept이므로 Linux가 시작하는 연결은 제한하지 않는다.

• Docker bridge → WAN mark가 있으므로 Docker망은 인터넷 격리망이 아니다.

iifname "enx00e04c637a20" oifname "foxirain4" ip saddr 10.10.0.20 ip daddr 10.20.0.10 tcp dport 31234 ct state new accept

정리

Sources

작업 기록

공식 문서

• Docker packet filtering and firewalls

• Docker with iptables

• Docker with nftables

• nftables: Configuring chains

• nftables conntrack metadata

• NIST SP 800-125B

시리즈 이동

• 이전:
  🌐
  [2/5] Tailscale 서브넷 라우터와 전용 NIC — 10.10.0.0/24 분석망 연결

• 다음:
  🐳
  [4/5] macvlan을 버리고 L3 Docker 브리지를 택한 이유 — foxirain4·gdbserver