Chinaunix

标题: 求助:iptables的FORWARD问题 [打印本页]

作者: Linux@初学者 时间: 2006-08-11 15:27
标题: 求助:iptables的FORWARD问题
我的规则:
Chain FORWARD (policy DROP)
target    prot opt source             destination
DROP    all  --  0.0.0.0/0          0.0.0.0/0          ipp2p v0.8.1_rc1 --bit
ACCEPT    tcp  --  0.0.0.0/0          0.0.0.0/0          tcp dpt:80
先是用iptables -P FORWARD DROP
测试后发现内网机器啥都访问不了,比如WEB,PING,但我加了
iptables -A FORWARD -p icmp -j ACCEPT后,可以PING外网,奇怪的是我加上上面的规则后用IE无法打开网页,DNS没问题
加上规则后:

Chain FORWARD (policy DROP)
target    prot opt source             destination
DROP    all  --  0.0.0.0/0          0.0.0.0/0          ipp2p v0.8.1_rc1 --bit
ACCEPT    tcp  --  0.0.0.0/0          0.0.0.0/0          tcp dpt:80
ACCEPT    icmp --  0.0.0.0/0          0.0.0.0/0

[root@RHEL4 soft]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target    prot opt source             destination

Chain POSTROUTING (policy ACCEPT)
target    prot opt source             destination
MASQUERADE  all  --  0.0.0.0/0          0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
target    prot opt source             destination

作者: on-fire 时间: 2006-08-11 15:45
标题: 回复 1楼 Linux@初学者的帖子
当然是有很大的问题，FORWARD链默认为DROP，能出去，但数据包回不来，因为sport为80的包不能通过防火墙回来，所以不能通过IE去访问互联网。

作者: Linux@初学者 时间: 2006-08-11 16:00
那我加上sport 80还不行,但我加上:
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
就行了,请句是啥意思?

作者: on-fire 时间: 2006-08-11 17:19
标题: 回复 3楼 Linux@初学者的帖子
看来您真的是要认真的看看文档资料才行。
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
说的是连接在ESTABLISHED,RELATED状态下包被接受，至于这两个状态是什么东西，请看书。（因为不是三两句话能说得明白的）

[ 本帖最后由 on-fire 于 2006-8-11 17:22 编辑 ]

作者: fish007 时间: 2006-08-12 11:00
找白金版主,或johnbull,他们是iptables的"好朋友",了解得很!

欢迎光临 Chinaunix (http://bbs.chinaunix.net/)