В iptables ставлю блокировку по ip но не отрабатывает. iptables -t filter -L -n -v не пакетов по этому правилу

Как определить что отрабатывает?

Посмотреть правила выше.

А ты уверен, что это новый пакет? Потому что пакеты в рамках установленных сессий идут по другой цепочке.

Можно как-то закрыть все сессии чтобы гарантированно все шли через новые настройки?

можно правило применить ко всем флаг establishment

Потому что пакеты в рамках установленных сессий идут по другой цепочке.

Ловите телепата.

Можно как-то закрыть все сессии чтобы гарантированно все шли через новые настройки?

tcpkill host 10.10.10.1

Или если топором - систему перезагрузить или хотя бы сетевой сервис sudo systemctl restart systemd-networkd или nmcli networking off / nmcli networking on - в зависимости от того какая система

1. Покажи iptables-save
2. Ты хочешь блокировать локальный или транзитный трафик?

У него не указан ctstate, значит established тоже должен зарезать.

Обычно все правила по дефолту применяются только к новым соединениям. Оно и логично, это оптимизирует издержки, проверять приходится только часть трафика.

специально проверил, запустил с соседнего компа пинговалку и сделал: iptables -A INPUT -p icmp -j DROP, ping остановился, когда правило удалил - вернулся.

специально проверил, запустил с соседнего компа пинговалку и сделал: iptables -A INPUT -p icmp -j DROP, ping не остановился

Намёк понятен?

https://sendvid.com/5hfesmog

Фига вам нечем заняться. Но намек вы так и не поняли.

Вы к тому что машина продолжила отправлять ping? Да, в таком ключе не остановился.

Всем спасибо. Получилось заблокировать в forward. Похоже из-за докера в разделе prerouting отправлялось в докер в forward.

А с каких пор протокол icmp стал поддерживать сессии?

Проверять надо tcp соединение. Например, установить соединение с http сервером или netcat запустить и попробовать на середине передачи зарубить.

А с каких пор протокол icmp стал поддерживать сессии?

Это не от протокола зависит, а от conntrack
https://www.frozentux.net/iptables-tutorial/chunkyhtml/x1582.html

На ssh аналогичное поведение кстати.

Я «к тому что» приводить пример почти любого отдельно взятого правила с утверждением «проверил у меня работает» приблизительно аналогично:
user1: Сегодня шел по улице поскользнулся
user2: Я сегодня шел по улице не поскользнулся

Это не от протокола зависит, а от conntrack

ну так conntrack это костыль для протоколов, которые не поддерживают сессии. И эти модули надо грузить отдельно. А в tcp они изначально, в этом его смысл перед udp.

Если ssh также работает, то все, вопросов нет, там тоже tcp.

Лучше не пиши в темах, в которых не разбираешься.

Показывай все правила. Возможно, перед DROP где-то есть ACCEPT.

И, да, если ты пытаешься блокировать транзитный трафик, цепочка INPUT не работает.

Так мне тогда вообще нигде писать нельзя…

Когда руками добавляешь и если это не ломает логику остальных правил - используй -I. -A дописывает в конец списка правил (и оно может перебиваться другими правилами). -I вставляет правило в начало списка.

Возможно, он просто привык к фронтендам, которые не грохают активный SSH при включении. Это не обязательно признак некомпетентности. Тут огромное количество персонажей, раздающих десятки в лучшем случае бесполезных советов в день с умным видом.