如何允许通过iptables进行传出连接？

我有两台服务器。第一个程序需要与第二个程序在端口2194上进行通信。

我知道它不起作用，因为当我这样做时：

root@server1 [~]# telnet myserver2.com 2194
Trying 123.123.123.98...
telnet: connect to address 123.123.123.98: Connection timed out
telnet: Unable to connect to remote host: Connection timed out

server1# iptables -L -n

Chain INPUT (policy DROP)
...
...

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy DROP)
...

Chain LOCALINPUT (1 references)
target     prot opt source               destination
...

Chain LOCALOUTPUT (1 references)
target     prot opt source               destination
...

Chain LOGDROPIN (1 references)
target     prot opt source               destination
DROP       all  --  0.0.0.0/0            0.0.0.0/0

Chain LOGDROPOUT (1 references)
target     prot opt source               destination
DROP       all  --  0.0.0.0/0            0.0.0.0/0

要允许从server1到TCP端口2194上的server2的传出连接，请在server1上使用此连接：

iptables -A OUTPUT -p tcp -d <server2ip> --dport 2194 -j ACCEPT

要允许从server1到TCP2194端口上的server2的传入连接，请在server2上使用此连接：

iptables -A INPUT -p tcp -s <server1ip> --dport 2194 -j ACCEPT

只是几个指针

您运行的服务仅在本地主机上监听吗？跑

netstat -ltn

如果您看到类似的行，0.0.0.0:2194那么您就可以了。如果你看到127.0.0.1:2194（或则仅在本地连接监听:::2194和::1:2194IPv6地址，分别显示为tcp6线）。

当前的iptables规则是什么？

iptables -L

政策是否为DROP / REJECT（如果不是，对于所有连锁店都应该如此）？您需要的端口是否有特定规则？

如果是防火墙问题，则可以修改有问题的规则或添加类似的规则

iptables -A INPUT -p tcp --dport 2194 -j ACCEPT 

应该做到这一点（未经测试）

===编辑===

测试网络问题的一个很好的工具是tcpdump。尝试连接时在两台服务器上运行它，并查看数据包的去向。例如在服务器1上运行：

tcpdump -i eth0 -n host server2.com

并在服务器2上运行：

tcpdump -i eth0 -n host server1.com

然后尝试连接。您应该在屏幕上看到从源和目标转储的所有TCP数据包。有了此信息，您应该能够查明问题出在哪里。