Debian8 systemd iptables

[Tru5T]

Hallo,

ich bin noch neu im Bereich systemd bei Debian8, normalerweise habe ich immer Init Skripte benutzt. Ich dachte ich versuche ein iptables Skript zu schreiben, dass mir alle Policies von IPv6 auf DROP setzt. Das Problem ist manchmal geht es und manchmal geht es nicht. Ich bin mir nicht sicher aber ich denke durch das parallel starten von Diensten durch systemd wird iptables geblockt, soll heißen es hat keinen Schreibzugriff auf die Datei in die es schreiben möchte, da diese bereits von einem anderen Dienst manipuliert wird. Vielleicht kann mir jemand von euch einen Tipp geben wie ich am besten meine iptables Skripte einbinde, damit sie jedes Mal korrekt ausgeführt werden ohne, dass ich es jedes Mal kontrollieren muss..

Danke im Voraus, hier noch mein Skript und die System Datei:

Code: Alles auswählen

#!/bin/sh

IPT6="/sbin/ip6tables"

do_start() {
        $IPT6 -P INPUT DROP
        $IPT6 -P FORWARD DROP
        $IPT6 -P OUTPUT DROP
}

do_stop() {
        $IPT6 -F
        $IPT6 -X
        $IPT6 -P INPUT ACCEPT
        $IPT6 -P FORWARD ACCEPT
        $IPT6 -P OUTPUT ACCEPT
}

case $1 in
    start)
        do_start
        ;;
    stop)
        do_stop
        ;;
    *)
        echo "Usage: {start|stop}"
        ;;
esac

Code: Alles auswählen

[Unit]
Description=Deny all IPv6 communications

[Service]
Type=idle
RemainAfterExit=true
ExecStart=/usr/lib/systemd/scripts/firewall_ipv6 start
ExecStop=/usr/lib/systemd/scripts/firewall_ipv6 stop

[Install]
WantedBy=multi-user.target

Noch etwas, diese Fehlermeldung kann ich auslesen wenn ich den Status abrufe:

Code: Alles auswählen

Aug 12 16:43:36 vps firewall_ipv4[202]: Another app is currently holding the xtables lock. Perhaps you want to use the -w option?

Was die allerdings bedeutet ist mir nicht klar, auch Google hat mir nicht weitergeholfen...

Grüße
Tru5T

[heisenberg]

Die Meldung bedeutet grundsätzlich erst Mal, dass gerade in dem Moment, als dein script die iptables Regeln konfigurieren möchte, ein anderes Programm das bereits tut. Bin mir allerdings nicht sicher ob die Unit-Definition korrekt ist und dein Script nicht vielleicht dauerhaft aufgerufen wird.

Der Weg für Debian und iptables, der mir da grundsätzlich einfällt wäre das Paket iptables-persistent.