[问题求助][RedHat] 来个iptables的问题 [复制链接]

下面是我的iptables的filter链.的规则，nat链和mangle就不帖了，因为mangle.没任何规则，nat只有SNAT和DNAT而已。外贸
现在问题是.：1、我ping外面DNS的.IP能通，但是例如ping www.163.com这样域名解析就提示：投资
ping: unknown host www.1..63.com.
我.把OUTPUT表.默认为ACCEPT的话问题就解决。--- 印刷
大家帮忙看看，如果设置才能达到ping ww.w.163.com能成功，并且OUTPUT表默认DRO.P              乙肝

搞了很久糊涂了，所以发上.来看看。域名

[.root@spring ~]#. iptables -nL    美容
C.hain INPUT (policy DROP).
target     prot opt source               d.estination .        [成人用品]
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0  .         t.cp flags:0x17/0x.02 limit: avg 30/min burst 2 虚拟主机
A.CCEPT     .all  --  0.0.0.0/0            0.0..0.0/0           state RELATED,ESTABLISHED 健康
ACCEPT    . ud.p  --  0.0.0.0/0            0.0.0.0/0           udp spt:53            女人
ACCEPT     tcp  --  0.0.0.0/0            0.0..0.0/0          . tcp dpt:4444 (        游戏          )

Chain FORWAR.D (policy .DROP)            杀毒
target     prot opt source           .    de.stination              .
ACCEPT .    all  --  192..168.3.0/24       0.0.0.0/0                        电子
ACCEPT     .all  --  192.168.0.0/24       0..0.0.0/0           [成人用品]
ACCEPT     all  --  .0.0..0.0/0            0.0.0.0/0           state RELATED,ESTABLIS.HED .
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0./0       .    tcp flags.:0x17/0x02 limit: avg 30/min burst 2 外贸

Chain OUTPUT (..policy DROP)            杀毒
target     .prot opt source               dest.ination                   婚庆
ACCEPT     all . --  0.0.0.0/0            0.0.0.0/0 .          state RELATED,E.STABLISHED 学习
ACCEPT     icm.p .--  0.0.0.0/0            0.0.0.0/0.

还有个奇怪的没想通的地方。
本来ping www.163.com不成功，我把OUTPUT设回ACCEPT，能ping了
然后我再把OUPUT设到DROP，这时候ping还是能通，
不过过段时间ping就不行了。

似乎 OUTPUT 链，还应该加个 -m state NEW,RELATED,ESTABLISHED ，你这样子 dns 解析出不去。
默认是先找缓存以及 hosts 文件（答2楼疑问）

dns查询＆dns缓存问题。
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT

QUOTE:原帖由 <i>vermouth</i> 于 2008-10-27 18:59 发表 <a href="http://linux.chinaunix.net/bbs/redirect.php?goto=findpost&pid=6796859&ptid=1040764" target="_blank"><img src="http://linux.chinaunix.net/bbs/images/common/back.gif" border="0" onload="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onmouseover="if(this.width>screen.width*0.7) {this.resized=true; this.width=screen.width*0.7; this.style.cursor='hand'; this.alt='Click here to open new window\nCTRL+Mouse wheel to zoom in/out';}" onclick="if(!this.resized) {return true;} else {window.open(this.src);}" onmousewheel="return imgzoom(this);" alt="" /></a><br />
似乎 OUTPUT 链，还应该加个 -m state NEW,RELATED,ESTABLISHED ，你这样子 dns 解析出不去。<br />
默认是先找缓存以及 hosts 文件（答2楼疑问）
<br />
应该是这样得原因，cache得原因。

4楼得方法可以，等下cache清完了试试这个方法。

不过貌似利用4楼的会好点，因为状态跟踪连接多少比一般的要耗资源一点吧？

2个方法都可以。谢谢了。

你的53端口的访问请求没有被通过