IPtables DNS冲突

Question

当我跑步的时候

ping 8.8.8.8

很好，但当我做了

ping google.com

它只是挂着。/etc/resolv.conf的内容如下：

# Dynamic resolv.conf(5) file for glibc resolver(3) generated by 
resolvconf(8)
#     DO NOT EDIT THIS FILE BY HAND -- YOUR CHANGES WILL BE OVERWRITTEN
nameserver 108.61.10.10
nameserver 208.67.222.222
nameserver 208.67.220.220

我知道OpenDNS工作得很好。我认为问题在于iptables，因为在我更改iptables设置iptables -S之前，它运行得很好：

-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp -m multiport ! --dports 80,443,8080,2222,22,1194,993,25,995,143,110,4433 -j DROP
-A INPUT -p udp -m udp -m multiport ! --dports 53,1194,500,4500 -j DROP
-A INPUT -p tcp -m connlimit --connlimit-above 25 --connlimit-mask 32 --connlimit-saddr -j REJECT --reject-with tcp-reset
-A INPUT -p tcp -m tcp --tcp-flags RST RST -m limit --limit 2/sec --limit-burst 2 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags RST RST -j DROP
-A INPUT -p tcp -m conntrack --ctstate NEW -m limit --limit 20/sec --limit-burst 20 -j ACCEPT
-A INPUT -p tcp -m conntrack --ctstate NEW -j DROP

Answer 1

您需要允许源端口53，iptables -A INPUT -p udp --sport 53 -j ACCEPT在-A INPUT -p udp -m udp -m multiport ! --dports 53,1194,500,4500 -j DROP之前，因为答复来自解析器源端口53。

为了调试目的，将有问题的规则附加到-j LOG目标中，您将得到一个更清晰的画面。

但是，对于适当的防火墙，我建议使用POLICY DROP，并且只允许所需的通信量。