请教一个关于iptables的问题

pmy54

在WEB服务器上打开了防火墙.能SSH到服务器上.能通过80访问服务器上的网站.

但是服务器不能上网.也不能SSH其它服务器.不能用wget下载

如果把防火墙关了.一切正常.能上网.能下载.能SSH其它服务器.

请问要怎么写规则才能让服务器可以下载东西.能SSH其它服务器呢?

下面是服务器iptables -L -n后的结果.

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  127.0.0.1            127.0.0.1
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp dpt:80
ACCEPT     tcp  --  0.0.0.0/0            210.21.202.120    tcp dpt:31011
ACCEPT     tcp  --  0.0.0.0/0            210.21.202.120     tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp spt:22 state ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp spt:25 state ESTABLISHED

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  127.0.0.1            127.0.0.1
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp spt:80 state ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp spt:31011 state ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp spt:22 state ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0          tcp dpt:25

我试了打开了INPUT  sport 80的和OUTPUT dport 80.但问题还是存在.

请大家帮我看看.在线等.谢谢!!!!!!!!

[ 本帖最后由 pmy54 于 2006-6-17 23:08 编辑 ]

platinum

请搜索我的一篇 iptables 教程，里面讲述了原理并展示了一些例子

pmy54

原帖由 platinum 于 2006-6-18 10:23 发表
请搜索我的一篇 iptables 教程，里面讲述了原理并展示了一些例子

没找到适合我的.

其实我的要求很简单.只要能开防火墙的基础上让服务器上网就可以了.

只要写一条简单的规则就是了.

问题是我不知道怎么写.

kenduest

原帖由 pmy54 于 2006-6-18 14:54 发表
没找到适合我的.
其实我的要求很简单.只要能开防火墙的基础上让服务器上网就可以了.
只要写一条简单的规则就是了.
问题是我不知道怎么写.

这已经算是faq的问题了。

以前在其他论坛我常念，念的就是一堆人总认为 INPUT 是 DROP 比较安全，但是根本没有具备好良好的 tcp/ip 观念，不知道封包传输是双向才会通，所以绕了一圈一直搞不清楚问题点在哪。

1. iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

复制代码

再者...

1. 一般本机存取自己不设防，你的 rule 允许 lo interface 可以存取就好。

2. 你机器无法连到外面的 dns 查询资料吧？因为该存取服务没开放。

==

frank533

关掉SElinux看看

fish007

iptables -A FORWARD -p tcp -s yourserverip --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp -s yourserverip --dport 443 -j ACCEPT
其中yourserverip是你服务器的ip,这样服务器就可以上网了