關(guān)于iptables

zxz0220

各位大俠，到底該打開(kāi)哪些個(gè)udp端口才能正常瀏覽網(wǎng)頁(yè)呢。我做的iptables 只有把匹配udp協(xié)議的包全放過(guò)才能進(jìn)行正常網(wǎng)頁(yè)瀏覽。我不想開(kāi)那么多的udp端口，該打開(kāi)那些端口呢？匹配tcp協(xié)議的包我打開(kāi)了21、22、25、80、110這些。
誠(chéng)心求教

platinum

你一定是禁止了UDP/53
在FORWARD里打開(kāi)就好了（如果做NAT）
或者在OUTPUT里打開(kāi)（如果單機(jī)上網(wǎng)）

fire-phoenix

幫你頂一下。
同時(shí)問(wèn)一下樓主，你是如何打開(kāi)80,21端口的？iptables的命令能不能貼出來(lái)？

zxz0220

原帖由 "platinum" 發(fā)表：
你一定是禁止了UDP/53
在FORWARD里打開(kāi)就好了（如果做NAT）
或者在OUTPUT里打開(kāi)（如果單機(jī)上網(wǎng)）

我新建了一個(gè)FORWARD的子鏈udp_package，F(xiàn)ORWARD鏈的默認(rèn)策略是DROP，但在子鏈中打開(kāi)了udp/53端口，可還是不行。版主老大，該怎么辦呢？

platinum

iptables -vL
把結(jié)果貼出來(lái)
如果你的firewall是寫(xiě)成一個(gè)shell的模式，貼出shell

zxz0220

Chain INPUT (policy DROP 12653 packets, 825K bytes)
pkts bytes target     prot opt in     out     source               destination         
12271 6582K tcp_packager  tcp  --  any    any     anywhere             anywhere            
11233  785K udp_packager  udp  --  any    any     anywhere             anywhere            
   50  4408 icmp_packager  icmp --  any    any     anywhere             anywhere            
1109 81267 ACCEPT     all  --  eth0   any     192.168.10.0/24      anywhere            

Chain FORWARD (policy DROP 1481 packets, 161K bytes)
pkts bytes target     prot opt in     out     source               destination         
   73  4216 icmp_packager  icmp --  any    any     anywhere             anywhere            
3018  336K udp_packager  udp  --  any    any     anywhere             anywhere            
  566 66380 tcp_packager  tcp  --  any    any     anywhere             anywhere            
  716 92399 ACCEPT     all  --  eth0   eth1    anywhere             anywhere            

Chain OUTPUT (policy ACCEPT 13528 packets, 6679K bytes)
pkts bytes target     prot opt in     out     source               destination         

Chain icmp_packager (2 references)
pkts bytes target     prot opt in     out     source               destination         
   57  4604 ACCEPT     icmp --  any    any     anywhere             anywhere            icmp echo-request

Chain tcp_packager (2 references)
pkts bytes target     prot opt in     out     source               destination         
   16   784 ACCEPT     tcp  --  any    any     anywhere             anywhere            multiport dports ftp,ssh,smtp,http,pop3
11514 6582K ACCEPT     tcp  --  any    any     anywhere             anywhere            state RELATED,ESTABLISHED

Chain udp_packager (2 references)
pkts bytes target     prot opt in     out     source               destination         
   40  2594 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:domain

zxz0220

如果我把udp_packager中的udp包全部ACCEPT，就可以正常訪問(wèn)

platinum

iptables -A FORWARD -m state --ESTABLISHED,RELATED -j ACCEPT

zxz0220

對(duì)了，內(nèi)網(wǎng):eth0 外網(wǎng):eth1 ，該機(jī)器是網(wǎng)關(guān)，squid+iptables 做的透明代理

zxz0220

[quote]原帖由 "platinum"]iptables -A FORWARD -m state --ESTABLISHED,RELATED -j ACCEPT[/quote 發(fā)表：

老大，為什么要加這一行呢，我不是在子鏈中放行了匹配ESTABLISHED和RELATED狀態(tài)的包嗎？