Debian-facile

anonyme

Invité

nftables pose problème sur AirPrint/Bonjour

Bonjour
j'ai perdu l'ajout de mon imprimante sur cups/config-printer avec le nftables.conf (pris sur le forum )

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
        chain input {
                type filter hook input priority filter; policy drop;
                iif lo accept
                #désactiver ceci provisoire pour test
                #ct state invalid drop
                ct state established,related accept
                #ajouter ceci pour imprimer
                tcp dport { 631, 80, 443 } ct state new accept
                #ajouter ceci pour imprimer
                udp dport { 631, 5353 } ct state new accept
                icmp type { destination-unreachable, time-exceeded, parameter-problem } accept
        }
        chain forward {
                type filter hook forward priority filter; policy drop;
        }
        chain output {
                type filter hook output priority filter;
        }
}
 

a priori maintenant correct , impression sans driver , paquet  cups, libnss-mdns, avahi-daemon.
vous voyez quelque chose de pas correct ?  (après recherches mais pas sur de moi )

nota : Multicast DNS (5353 udp , 631 udp et tcp impression , 80 tcp pour cups (http)

localhost - - [26/Jan/2023:11:07:35 +0100] "POST / HTTP/1.1" 200 349 Create-Printer-Subscriptions successful-ok
localhost - - [26/Jan/2023:11:07:35 +0100] "POST / HTTP/1.1" 200 176 Create-Printer-Subscriptions successful-ok
localhost - - [26/Jan/2023:11:07:40 +0100] "POST /admin/ HTTP/1.1" 401 223 CUPS-Add-Modify-Printer successful-ok
localhost - root [26/Jan/2023:11:07:40 +0100] "POST /admin/ HTTP/1.1" 200 223 CUPS-Add-Modify-Printer successful-ok
localhost - root [26/Jan/2023:11:07:40 +0100] "POST /admin/ HTTP/1.1" 200 223 CUPS-Add-Modify-Printer successful-ok
localhost - root [26/Jan/2023:11:07:40 +0100] "POST /admin/ HTTP/1.1" 200 25993 CUPS-Add-Modify-Printer successful-ok
localhost - root [26/Jan/2023:11:07:40 +0100] "POST /admin/ HTTP/1.1" 200 197 CUPS-Add-Modify-Printer successful-ok
 

raleur

Membre

Inscription : 03-10-2014

Re : nftables pose problème sur AirPrint/Bonjour

Si la communication avec l'imprimante implique du trafic multicast ou broadcast, le suivi de connexion de netfilter (conntrack) ne le gère pas donc ces règles risquent de bloquer les paquets de réponse entrants.

---

Il vaut mieux montrer que raconter.

anonyme

Invité

Re : nftables pose problème sur AirPrint/Bonjour

lpstat -t
 

retour

scheduler is running
no system default destination
matériel pour HP_OfficeJet_Pro_8210_6BEAAF : implicitclass://HP_OfficeJet_Pro_8210_6BEAAF/
HP_OfficeJet_Pro_8210_6BEAAF accepte des requêtes depuis jeu. 26 janv. 2023 13:27:37
printer HP_OfficeJet_Pro_8210_6BEAAF is idle.  enabled since jeu. 26 janv. 2023 13:27:37
 

driverless list
 

retour

DEBUG: Started ippfind (PID 2228)
"driverless:ipps://HP%20OfficeJet%20Pro%208210%20%5B6BEAAF%5D._ipps._tcp.local/" en "HP" "HP OfficeJet Pro 8210, driverless, cups-filters 1.28.16" "MFG:HP;MDL:OfficeJet Pro 8210;CMD:PDF,PCLM,PS,PCL,PWGRaster,AppleRaster,JPEG,URF,PWG;"
DEBUG: ippfind (PID 2228) exited with no errors.
 

je pourrai activer les logs sur "input" pour voir ce qui est rejeté , mais je me souvient plus comment faire , faut que je cherche pour l'activer.
sinon pour l'instant tout semble correct , installation de l'imprimante et impression

et oui du trafic multicast , annonce de l'imprimante sur le réseau , et cups installe et récupère le driver de ce que je comprend
l' ip de l'imprimante ne sert que pour joindre le serveur http de celle ci , on ne voit nulle part son IP dans les logs
mais bon obscur pour moi  quand même 

raleur

Membre

Inscription : 03-10-2014

Re : nftables pose problème sur AirPrint/Bonjour

Je ne suis pas sûr de comprendre, ça marche ou ça ne marche pas ? Si ça marche, quel est le problème ?

---

Il vaut mieux montrer que raconter.

anonyme

Invité

Re : nftables pose problème sur AirPrint/Bonjour

oui cela fonctionne , petite modif "ct state invalid drop" remit en service

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
        chain input {
                type filter hook input priority filter; policy drop;
                iif lo accept
                ct state established,related accept
                tcp dport { 631, 80, 443 } ct state new accept
                udp dport { 631, 5353 } ct state new accept
                ct state invalid drop
                icmp type { destination-unreachable, time-exceeded, parameter-problem } accept
        }
        chain forward {
                type filter hook forward priority filter; policy drop;
        }
        chain output {
                type filter hook output priority filter;
        }
}
 

on verra a l'usage et si quelqu'un a une remarque a faire ou une modification .