关于iptables和和DNS的一个疑问

蓝火人

我写了这样一句
iptables -I OUTPUT -p udp -s 0/0 -d 0/0 --sport 23070: -j DROP
目的是防止从任何IP地址通过23070以后的端口和外界通讯（我用iptraf看到这样的数据  UDP (78 bytes) from 172.16.3.181:41958 to 18.145.0.30:30587 on eth1 ） 感觉很多下载都是这样的，所以想封掉这些端口，不知这样理解是否正确？  

可是发现加上这句以后就不能使用ping www.sina.com这样的命令了，给出的提示为

root@hw squid]# ping www.sina.com
ping: unknown host www.sina.com

但是可以使用ping 202.108.33.32 这样就可以通。也就是加了这句以后就不能解析域名了，但是可以通过ping IP地址

大家看看这是为何呢？

后来我又再次试了一下，把iptables -I OUTPUT -p udp -s 0/0 -d 0/0 --sport 23070: -j DROP改为
                        iptables -I OUTPUT -p udp -s 192.168.0.0/24 -d 0/0 --sport 23070: -j DROP

这样以后也不受影响了，哪位能给解释一下呢？

jordanfang

dns端口是53吧，其实你干脆这样好了，开些常用的端口，其它都封掉，那不是很干净嘛

蓝火人

原帖由 jordanfang 于 2008-3-18 01:05 发表
dns端口是53吧，其实你干脆这样好了，开些常用的端口，其它都封掉，那不是很干净嘛

我的意思是我并没有封闭53端口，我封闭的是23070---65535啊

ssffzz1

1·
DNS的端口是53这个不错，但是指的是目的端口啊。也没说源端口是多少，根据系统规则这个是从某个端口号后随机选取的。

2、
你在output链做限制，这个链是针对本机所发包的，对转发的包是无效的。