Chinaunix

标题: 关于iptables和和DNS的一个疑问 [打印本页]

作者: 蓝火人 时间: 2008-03-17 23:19
标题: 关于iptables和和DNS的一个疑问
我写了这样一句
iptables -I OUTPUT -p udp -s 0/0 -d 0/0 --sport 23070: -j DROP
目的是防止从任何IP地址通过23070以后的端口和外界通讯（我用iptraf看到这样的数据 UDP (78 bytes) from 172.16.3.181:41958 to 18.145.0.30:30587 on eth1 ）感觉很多下载都是这样的，所以想封掉这些端口，不知这样理解是否正确？

可是发现加上这句以后就不能使用ping www.sina.com这样的命令了，给出的提示为

root@hw squid]# ping www.sina.com
ping: unknown host www.sina.com

但是可以使用ping 202.108.33.32 这样就可以通。也就是加了这句以后就不能解析域名了，但是可以通过ping IP地址

大家看看这是为何呢？

后来我又再次试了一下，把iptables -I OUTPUT -p udp -s 0/0 -d 0/0 --sport 23070: -j DROP改为
iptables -I OUTPUT -p udp -s 192.168.0.0/24 -d 0/0 --sport 23070: -j DROP

这样以后也不受影响了，哪位能给解释一下呢？

作者: jordanfang 时间: 2008-03-18 01:05
dns端口是53吧，其实你干脆这样好了，开些常用的端口，其它都封掉，那不是很干净嘛

作者: 蓝火人 时间: 2008-03-18 08:33

原帖由 jordanfang 于 2008-3-18 01:05 发表
dns端口是53吧，其实你干脆这样好了，开些常用的端口，其它都封掉，那不是很干净嘛

我的意思是我并没有封闭53端口，我封闭的是23070---65535啊

作者: ssffzz1 时间: 2008-03-18 14:00
1·
DNS的端口是53这个不错，但是指的是目的端口啊。也没说源端口是多少，根据系统规则这个是从某个端口号后随机选取的。

2、
你在output链做限制，这个链是针对本机所发包的，对转发的包是无效的。

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)