Имеется работающая система на основе CentOS 7. Сервисы iptables и firewalld отстановлены и отключены (файл /etc/sysconfig/iptables существует и содержит стандартные правила: на входящих разрешить ssh, остальное запретить). При этом существут следующие активные правила iptables:
*mangle
:PREROUTING ACCEPT [240409:32592413]
:INPUT ACCEPT [240409:32592413]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [158835:38568858]
:POSTROUTING ACCEPT [158835:38568858]
[0:0] -A POSTROUTING -o virbr0 -p udp -m udp --dport 68 -j CHECKSUM --checksum-fill
COMMIT
*filter
:INPUT ACCEPT [240418:32593029]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [158841:38569806]
[0:0] -A INPUT -i virbr0 -p udp -m udp --dport 53 -j ACCEPT
[0:0] -A INPUT -i virbr0 -p tcp -m tcp --dport 53 -j ACCEPT
[0:0] -A INPUT -i virbr0 -p udp -m udp --dport 67 -j ACCEPT
[0:0] -A INPUT -i virbr0 -p tcp -m tcp --dport 67 -j ACCEPT
[0:0] -A FORWARD -i virbr0 -o virbr0 -j ACCEPT
[0:0] -A FORWARD -o virbr0 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A FORWARD -i virbr0 -j REJECT --reject-with icmp-port-unreachable
[0:0] -A OUTPUT -o virbr0 -p udp -m udp --dport 68 -j ACCEPT
COMMIT
Интерфейс virbr0 (и с ним некий virbr0-nic) существует без моего участия:
17: virbr0 inet 10.37.130.2/24 brd 10.37.130.255 scope global virbr0\ valid_lft forever preferred_lft forever
Упоминаний, где могут подниматься эти правила, я не нашёл. Строка «10.37.130.2» в /etc/ встречается в следующих файлах:
/etc/issue
/etc/libvirt/qemu/networks/autostart/Host-Only.xml
/etc/libvirt/qemu/networks/Host-Only.xml
/etc/vz/digested.network.xml
/etc/vz/network.xml
До последнего времени это не беспокоило, но возникло желание добавить своё правило. С одной стороны эти, похоже, не нужны и их можно удалять или просто не обращать на них внимание. Но с другой, если правила меняются без моего участия то это может случиться ещё раз. Причём неизвестно как это будет сочетаться с работающими правилами iptables или firewalld.
Как найти кто за них ответственный?
