Linux iptables rechazado - ¿Cómo lo habilito de nuevo?

entonces tengo un cliente en mi red conectado al enrutador a través de mi computadora con arpspoof. Cuando sé que quiero detener el reenvío de paquetes, ejecuto:

iptables -A FORWARD -j REJECT

eso está funcionando como esperaba. Pero cuando trato de hacer algo como:

iptables -A FORWARD -j ACCEPT

No puedo lograr que los paquetes pasen como al principio.

¿Estoy haciendo algo mal o hay algún otro argumento que debería usar diferente de "ACEPTAR"?

IPtables tiene una lista de reglas y, para cada paquete, verifica la lista de reglas en orden. Una vez que se encuentra una regla que coincide con el paquete y especifica una política (ACEPTAR, RECHAZAR, BAJAR), se determina el destino del paquete coincidente; No se examinan más reglas.

Esto significa que el orden en el que ejecuta los comandos es importante. Cuando lo usa iptables -A, agrega una regla al final de la lista de reglas, por lo que terminará con una lista de reglas similar a esta:

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited
ACCEPT     all  --  anywhere             anywhere

Dado que la REJECTregla viene antes que la ACCEPTregla, se activa primero y, por lo tanto, el reenvío no sucederá.

Por lo tanto, deberá eliminar la REJECTregla en lugar de agregar una ACCEPTregla. Para eliminar la regla RECHAZAR, ejecute

iptables -D FORWARD -j REJECT 

Para obtener más información, lea la página de manual de iptables.

La -Abandera le dice a iptables que agregue la regla a la cadena, lo que significa que termina bajo su REJECTregla, y dado que la primera regla coincide, nunca se usa.

Enumeras tus reglas iptables -L FORWARDy lo verás tú mismo. Para deshacerse de la regla que agregó, ejecute

iptables -D FORWARD -j REJECT 

Hasta que ya no haya tales reglas en la cadena.

¿Qué hay de jugar al final de la FORWARDregla para saltar a una nueva cadena en la que solo habrá una regla? Puede ser ACCEPTo REJECT. Decir...

iptables -N accept-chain
iptables -A accept-chain -j ACCEPT
iptables -A FORWARD -j accept-chain

Después de eso, puedes cambiar esta regla en accept-chainalgo como

iptables -R accept-chain 1 -j REJECT

para deshabilitar el tráfico o -j ACCEPTpara habilitar.

También lo que abunda para activar y desactivar el enrutamiento por

echo "0" > /proc/sys/net/ipv4/ip_forward

para deshabilitar el reenvío de paquetes y "1"- para habilitar.

El orden importa. Esto insertará su regla en la parte superior en lugar de agregar.

iptables -I FORWARD 1 -j ACCEPT

-I es insertar y # 1 es la posición