防火墙仍然阻止了端口53，但没有列出？

我有3个节点，从bash脚本加载了几乎相同的iptables规则，但是一个特定的节点尽管列出了接受的端口，但仍阻止了端口53上的流量：

$ iptables --list -v

链输入（策略DROP 8886数据包，657K字节）
 pkts字节目标prot opt in出源目的地         
    0 0全部接受-随时随地            
    2122 ACCEPT icmp-任何地方icmp echo-request 
20738 5600K接受所有-任何地方，任何地方状态相关，已确定 
    0 0 ACCEPT tcp-eth1任何位置node1.com多端口dport http，smtp 
    0 0接受udp-eth1任何位置ns.node1.com udp dpt：domain 
    0 0接受tcp-eth1任何地方ns.node1.com tcp dpt：domain 
    0 0全部接受-eth0任何node2.backend任何地方            
   21 1260全部接受-eth0任何node3.backend任何地方            
    0 0全部接受-eth0任何node4.backend任何地方            

链转发（策略DROP 0数据包，0字节）
 pkts字节目标prot opt in出源目的地         

链输出（策略ACCEPT 15804数据包，26M字节）
 pkts字节目标prot opt in出源目的地

nmap -sV -p 53 ns.node1.com //从远程服务器

在2011-02-24 11:44 EST开始Nmap 4.11（http://www.insecure.org/nmap/）
ns.node1.com（1.2.3.4）上有趣的端口：
港口国服务版本
53 / tcp过滤的域

Nmap完成：在0.336秒内扫描了1个IP地址（1个主机已启动）

有任何想法吗？

谢谢

domain-name-system firewall iptables

— 汤姆
source

Answers:

我注意到，实际上有零个数据包达到iptables了DNS 的ACCEPT规则。我认为您的iptables规则可能指定的条件组合不一致，这些条件永远不会匹配传入的DNS查询。

对于您的情况，您的DNS ACCEPT规则指定传入接口必须为eth1，目标IP地址必须解析为ns.node1.com。您应该检查是否ns.node1.com可以通过eth1网络接口到达传入的DNS查询。

另一种可能性是，您的测试客户端和服务器之间的某个位置有另一个阻止DNS数据包的数据包筛选器。

— 史蒂文·星期一
source

谢谢，我会调查一下。当我停止iptables时，端口将解除阻塞，从而排除了导致问题的服务器上方的数据包过滤器。

— 汤姆（Tom）

除去iptables -A INPUT -i eth1 -j ACCEPT以外的所有防火墙规则后，该端口仍被阻止。当我停止iptables时，它是打开的。现在有什么想法吗？

— 汤姆（Tom）

@Tom：显然，您的测试数据包没有达到ACCEPT规则，否则该端口将不会被阻塞。最可能的结论是您的测试数据包没有到达eth1。您确定eth1他们应该到达那里吗？

— 史蒂文星期一，

我不确定，但是我将解释我的设置-eth0具有专用IP，eth1具有主IP，eth1：0是名称服务器（以及数据包的所需目标），而eth1：1是nginx的。我的其他2台服务器具有相同的接口和接口别名。我能想到的唯一区别是其他2台服务器上的eth1：0用于从属名称服务器，而此服务器上的eth1：0则用于主服务器。这提供任何见解吗？感谢您的帮助-这真是使我丧命。

— 汤姆（Tom）

我应该提到，在控制服务的规则前后，bash脚本中始终包含这些标准规则：iptables -F; iptables -Z; iptables -A INPUT -i lo -j ACCEPT; iptables -A INPUT -p icmp -m icmp --icmp-type echo-request -j ACCEPT; iptables -A INPUT -m状态--state已建立，相关-j接受；##在此处控制服务的规则## iptables -P OUTPUT ACCEPT; iptables -P输入滴; iptables -P FORWARD DROP;

— 汤姆（Tom）

可能是tcp端口被另一个防火墙阻止。使用tcpdump / Wireshark调试问题。

从我：

nmap -sV -p 53 x.x.x.x

Starting Nmap 5.00 ( http://nmap.org ) at 2011-02-25 02:32 YEKT
Interesting ports on x.x.x.x:
PORT   STATE SERVICE VERSION
53/tcp open  domain  ISC BIND Not available

— 乌什罗
source

当我停止iptables时，端口将打开。

— 汤姆（Tom）