iptables: отбросить входящие пакеты UDP, порт назначения 1900

Это меньше ответа и больше о поддержке ваших выводов.

Для меня похоже, что правила правильные, но входящие пакеты даже не видны в входную цепочку. Счетчик отображается на Цепная политика не соответствует количеству пакетов, которые я вижу в TCPDUMP. В Один случай я видел как 20 пакетов УДП в TCPDUMP, но счетчик показал Только 1 пакет: вход цепи (политика принимает 1 пакеты, 52 байта).

Я получаю то же самое. Вот мои правила набор скрипта:

doug@rpi2:~ $ cat test-iptables
#!/bin/sh
FWVER=0.01
#
# test_firewall 2021.03.05 Ver:0.01
#       Just some simple rules for a test.
#       Currently for this question:
#       https://askubuntu.com/questions/1321344/iptables-drop-incoming-udp-packets-destination-port-1900
#

echo "Loading test_firewall version $FWVER..\n"

# The location of the iptables program
#
IPTABLES=/usr/sbin/iptables

#Set some stuff
#
EXTIF="eth0"
UNIVERSE="0.0.0.0/0"

#Clearing any previous configuration
#
#echo "  Clearing any existing rules and setting default policies.."
$IPTABLES -P INPUT ACCEPT
$IPTABLES -F INPUT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -F OUTPUT

# Otherwise, I can not seem to delete it later on
$IPTABLES -F
# Delete user defined chains
$IPTABLES -X

# Reset all IPTABLES counters
$IPTABLES -Z
$IPTABLES -t nat -Z

# try to prevent accidental loss of my SSH connection.
# added after I did exactly that.
#
$IPTABLES -A INPUT -i $EXTIF -p tcp --dport 22 -j ACCEPT

# loopback interfaces are valid.
#
$IPTABLES -A INPUT -i lo -s $UNIVERSE -d $UNIVERSE -j ACCEPT

$IPTABLES -A INPUT -i $EXTIF -p udp --dport 1900 -j LOG --log-prefix "U1900:" --log-level info
$IPTABLES -A INPUT -i $EXTIF -p udp --dport 1900 -j DROP

$IPTABLES -A INPUT -d 224.0.0.7 -j LOG --log-prefix "IP224:" --log-level info
$IPTABLES -A INPUT -d 224.0.0.7 -j DROP

$IPTABLES -A INPUT -p udp --dport 8001 -j LOG --log-prefix "U8001:" --log-level info
$IPTABLES -A INPUT -p udp --dport 8001 -j DROP

$IPTABLES -A INPUT -m pkttype --pkt-type broadcast -j LOG --log-prefix "BROAD:" --log-level info
$IPTABLES -A INPUT -m pkttype --pkt-type broadcast -j DROP
$IPTABLES -A INPUT -m pkttype --pkt-type multicast -j LOG --log-prefix "MULTI:" --log-level info
$IPTABLES -A INPUT -m pkttype --pkt-type multicast -j DROP
$IPTABLES -A INPUT -m pkttype --pkt-type UNICAST -j LOG --log-prefix "UNI:" --log-level info
$IPTABLES -A INPUT -m pkttype --pkt-type UNICAST -j DROP
#$IPTABLES -A INPUT -m pkttype --pkt-type ANYCAST -j LOG --log-prefix "ANY:" --log-level info
#$IPTABLES -A INPUT -m pkttype --pkt-type ANYCAST -j DROP

$IPTABLES -A INPUT -s 192.168.111.123  -p udp --sport 8001 -j DROP

$IPTABLES -A INPUT -s 192.168.111.122 -j DROP
$IPTABLES -A INPUT -d 224.0.0.0/4 -j LOG --log-prefix "IP224B:" --log-level info
$IPTABLES -A INPUT -d 224.0.0.0/4 -j DROP

# $IPTABLES -A FORWARD -p udp -i $EXTIF --dport 8001 -j DROP

$IPTABLES -A INPUT -j LOG --log-prefix "CATCH:" --log-level info

echo test_iptables $FWVER done.
echo "test_iptables $FWVER done..." >> /dev/kmsg

в моем случае у меня есть телевизор Samsung в 192.168.111.123 постоянно извергая пакеты в порт 8001:

doug@rpi2:~ $ sudo tcpdump -n -tttt -vvv host 192.168.111.123
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
2021-03-06 13:26:24.073438 IP (tos 0x0, ttl 64, id 57376, offset 0, flags [DF], proto UDP (17), length 63)
    192.168.111.123.36088 > 192.168.111.255.15600: [udp sum ok] UDP, length 35
2021-03-06 13:26:24.840570 IP (tos 0x0, ttl 1, id 35446, offset 0, flags [DF], proto UDP (17), length 232)
    192.168.111.123.8001 > 224.0.0.7.8001: [udp sum ok] UDP, length 204
2021-03-06 13:26:26.849469 IP (tos 0x0, ttl 1, id 35532, offset 0, flags [DF], proto UDP (17), length 232)
    192.168.111.123.8001 > 224.0.0.7.8001: [udp sum ok] UDP, length 204
^C

и я согласен, что они просто не доходят до входной цепочки:

doug@rpi2:~ $ sudo iptables -xvnL
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination
     194    15856 ACCEPT     tcp  --  eth0   *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
       0        0 ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
       0        0 LOG        udp  --  eth0   *       0.0.0.0/0            0.0.0.0/0            udp dpt:1900 LOG flags 0 level 6 prefix "U1900:"
       0        0 DROP       udp  --  eth0   *       0.0.0.0/0            0.0.0.0/0            udp dpt:1900
       0        0 LOG        all  --  *      *       0.0.0.0/0            224.0.0.7            LOG flags 0 level 6 prefix "IP224:"
       0        0 DROP       all  --  *      *       0.0.0.0/0            224.0.0.7
       0        0 LOG        udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:8001 LOG flags 0 level 6 prefix "U8001:"
       0        0 DROP       udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:8001
    1612   173750 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = broadcast LOG flags 0 level 6 prefix "BROAD:"
    1612   173750 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = broadcast
     460    69304 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = multicast LOG flags 0 level 6 prefix "MULTI:"
     460    69304 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = multicast
      96    13068 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = unicast LOG flags 0 level 6 prefix "UNI:"
      96    13068 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = unicast
       0        0 DROP       udp  --  *      *       192.168.111.123      0.0.0.0/0            udp spt:8001
       0        0 DROP       all  --  *      *       192.168.111.122      0.0.0.0/0
       0        0 LOG        all  --  *      *       0.0.0.0/0            224.0.0.0/4          LOG flags 0 level 6 prefix "IP224B:"
       0        0 DROP       all  --  *      *       0.0.0.0/0            224.0.0.0/4
       0        0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0            LOG flags 0 level 6 prefix "CATCH:"

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
    pkts      bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 264 packets, 39247 bytes)
    pkts      bytes target     prot opt in     out     source               destination

и Мы видим, что ничего не связано в файле системного журнала:

doug@rpi2:~ $ grep -a "DPT=8001" /var/log/syslog
doug@rpi2:~ $