Por que não posso usar a política REJECT na minha cadeia OUTPUT do iptables?

Atualmente, tenho minha cadeia OUTPUT definida como DROP. Gostaria de alterá-lo para REJECT, para ter uma pista de que é o meu firewall que me impede de chegar a algum lugar em vez de um problema com qualquer serviço que estou tentando acessar (rejeição imediata em vez de atingir o tempo limite). No entanto, o iptables parece não se importar com isso. Se eu editar manualmente meu arquivo de regras salvo e tentar restaurá-lo, recebo iptables-restore v1.4.15: Can't set policy 'REJECT' on 'OUTPUT' line 22: Bad policy namee ele se recusa a carregar as regras. Se eu tentar definir isso manualmente ( iptables -P OUTPUT REJECT), recebo, iptables: Bad policy name. Run 'dmesg' for more information.mas não há saída no dmesg.

Confirmei que a regra apropriada foi compilada no kernel e reiniciei para garantir que ele seja carregado:

# CONFIG_IP_NF_MATCH_TTL is not set
CONFIG_IP_NF_FILTER=y
***
CONFIG_IP_NF_TARGET_REJECT=y
***
CONFIG_IP_NF_TARGET_LOG=y
CONFIG_IP_NF_TARGET_ULOG=y

(Asteriscos adicionados para destacar a regra aplicável)

Tudo o que consigo encontrar afirma que REJECT é uma política / destino válido (em geral), mas não consigo encontrar nada que diga que não é válido para as cadeias INPUT, FORWARD ou OUTPUT. Meu Google-fu não está ajudando. Estou no Gentoo, se isso faz alguma diferença. Alguém aqui tem alguma ideia?

REJECTé uma extensão de destino , enquanto uma política de cadeia deve ser um destino . A página de manual diz isso (embora não esteja muito claro), mas parte do que diz está totalmente errada.

A política pode ser apenas ACCEPTou DROPem cadeias internas. Se você deseja rejeitar todos os pacotes que não correspondem às regras anteriores, verifique se a última regra corresponde a tudo e adicione uma regra com uma REJECTextensão de destino. Em outras palavras, depois de adicionar todas as regras relevantes, faça iptables -t filter -A OUTPUT -j REJECT.

Consulte o tópico "quais são as possíveis políticas de cadeia" na lista netfilter para obter mais detalhes.

Não consegui encontrá-lo documentado, mas uma referência aqui indica que as únicas políticas permitidas são ACCEPT ou DROP. Isto é confirmado por olhar para a fonte de libiptc(que é responsável por manipular as regras) em torno da linha 2429, onde o código tem

2429         if (strcmp(policy, LABEL_ACCEPT) == 0)
2430                 c->verdict = -NF_ACCEPT - 1;
2431         else if (strcmp(policy, LABEL_DROP) == 0)
2432                 c->verdict = -NF_DROP - 1;
2433         else {
2434                 errno = EINVAL;
2435                 return 0;
2436         }

O tópico original sugere que a melhor coisa a fazer é adicionar REJECT no final da cadeia, o que deveria ser iptables -A OUTPUT -j REJECT.

Observe que o código imediatamente antes disso é:

2423         if (!iptcc_is_builtin(c)) {
2424                 DEBUGP("cannot set policy of userdefinedchain `%s'\n", chain);
2425                 errno = ENOENT;
2426                 return 0;
2427         }
2428 

Portanto, você não pode definir a política em uma cadeia definida pelo usuário.

REJECTon OUTPUTnão faz sentido; a REJECTretornará um pacote ICMP que precisaria atravessar uma rede.

Adicione uma nova -j LOGcomo sua última regra (portanto, antes da DROPpolítica) para ver o que chega tão longe na OUTPUTcadeia.