eli
1d5af2248b
fix(firewall): forward 链改回"作用域白名单 + 默认丢弃"
之前把 forward 链清空成 policy accept 是错的——那不是标准，是相对基线的
**安全退化**。基线（init-iptables.sh）本来就是：
-A FORWARD -o podman+ -j ACCEPT
-A FORWARD -j REJECT
配合 net.ipv4.ip_forward=1，清空 forward 等于让主机变成转发器。
现在按基线语义实现：
chain forward {
type filter hook forward priority filter; policy drop;
ct state established,related accept
iifname/oifname "wt0" accept # NetBird 覆盖网
iifname/oifname "zt*" accept # ZeroTier 覆盖网
iifname/oifname "podman*" accept # Podman
iifname/oifname "docker0" accept
iifname/oifname "br-*" accept
}
两处必须显式列出接口的原因（都实测过）：
1. **容器发布端口的入站在 forward 里没有任何现成规则可匹配**。实测
NETAVARK_FORWARD 只有 `saddr 10.89.0.0/24 accept`（出站）和
`daddr 10.89.0.0/24 established accept`（回程），**没有发布端口的入站
accept**。基线是靠 `-o podman+ ACCEPT` 放行的，这里同理用 oifname 匹配。
2. **NetBird/ZeroTier 会自己往 `ip filter FORWARD` 写规则**。实测 oraclejp
的 `ip filter FORWARD` 里有 netbird 加的 `iifname "wt0" accept`。本表的
`policy drop` 是终局裁决，不同步放行就会把 VPN 转发打死。
验证（oraclezyus-arm）：SSH/80/443/容器 9000 全通、容器 DNS 与出站正常、
容器到宿主机 443 正常。测试 77 → 79 项全绿。
2026-11-11 12:24:44 +08:00
..
2026-09-26 15:31:41 +08:00
2026-11-11 12:24:44 +08:00
2026-11-08 11:31:52 +08:00