主页 / ubuntu / 问题 / 996315
Accepted
NerdOfLinux
Asked: 2018-01-16 12:18:59 +0800 CST

IPtables DNS 冲突

  • 772

在我的 VPS 上，当我运行时

ping 8.8.8.8

它工作得很好，但是当我这样做时

ping google.com

它只是挂起。的内容/etc/resolv.conf是：

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by 
resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 108.61.10.10
nameserver 208.67.222.222
nameserver 208.67.220.220

我知道 OpenDNS 工作正常。我认为问题出在 iptables 上，因为在我更改 iptables 设置之前它工作正常iptables -S：

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp -m multiport ! --dports 80,443,8080,2222,22,1194,993,25,995,143,110,4433 -j DROP
-A INPUT -p udp -m udp -m multiport ! --dports 53,1194,500,4500 -j DROP
-A INPUT -p tcp -m connlimit --connlimit-above 25 --connlimit-mask 32 --connlimit-saddr -j REJECT --reject-with tcp-reset
-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags RST RST -j DROP
-A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 20/sec --limit-burst 20 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -j DROP
networking

1 个回答

  1. Best Answer

    您需要在 iptables -A INPUT -p udp --sport 53 -j ACCEPT之前允许源端口 53，-A INPUT -p udp -m udp -m multiport ! --dports 53,1194,500,4500 -j DROP因为回复来自解析器源端口53。

    出于调试目的，将有问题的规则附加到-j LOG目标中，您将获得更清晰的画面。

    但是，对于适当的防火墙 - 我建议使用POLICY DROP并只允许所需的流量。

    • 1

相关问题