DHCP 的讨论（iptables 对其无效？）

我爱钓鱼

[quote]原帖由 "NetDC"]对了，试试将ip_forward给禁用。[/quote 发表：


不知道和这个有没有关系.

platinum

[quote]原帖由 "bingosek"]试试用telnet或扫描工具看看server上port 67是打开的还是关闭的[/quote 发表：

dhcp 做服务的时候，用的是 udp 协议，你说的方法只能探测 tcp

bingosek

原帖由 "platinum" 发表：

ip_forward 与这又有什么关系呢？
我已尝试过将 PREROUTING 全部禁止，但依然没用，根本就走不到 route 的过程

哪在server上port 67是不是打开的？如果port 67还是打开的，对于port 67的连接不是被refused掉的话，就应该是iptables的问题了

platinum

[quote]原帖由 "我爱钓鱼"]我也发现过一些有趣儿的现象:我把一个用户的IP的input和output全drop了,可是发现他还能上msn和qq,只是不能用上网不能ftp,也有点不理解....[/quote 发表：

你的那个情况是因为数据包是基于状态的，你默认 DROP 的仅仅是 NEW，ESTABLISHED 和 RELATED 的没有禁止，因此依然能上
而 ftp 的传输是临时需要开端口的，因此他的 NEW 会被 DROP，造成上不了的状况

你的这个问题与本讨论主题无关

platinum

原帖由 "bingosek" 发表：

哪在server上port 67是不是打开的？

不懂你的意思。。。。。
client 能获得 IP，netstat -lnp 能看到端口监听，端口当然是开着的
不过，和 iptables 无法阻止 DHCP 的这个奇怪现象又有什么联系呢？

bingosek

我是说，我想了解从client的角度看，server上的dhcp端口是不是已经给iptables block住了

platinum

有什么好的工具去探测一个 udp 端口是否存在服务呢？（WIN 下的主机去探测 LINUX 下的 udp/67）

mocou

[quote]原帖由 "我爱钓鱼"]我也发现过一些有趣儿的现象:我把一个用户的IP的input和output全drop了,可是发现他还能上msn和qq,只是不能用上网不能ftp,也有点不理解....[/quote 发表：


如果是NAT的话，那只跟FORWARD，PREROUTING链有关。你试试装这些用户的FORWARD跟PREOUTING关掉看看还能不能上

1.    -A PREROUTING  -p tcp --dport 1863  -j DROP
   
2.     -A FORWARD     -p tcp --dport 1863  -j DROP
   
3.     -A FORWARD     -p tcp --sport 1863  -j DROP
   
4. 
   
5.     -A PREROUTING  -p tcp --dport 443   -j DROP
   
6.     -A FORWARD     -p tcp --dport 443   -j DROP
   
7.     -A FORWARD     -p tcp --sport 443   -j DROP
   
8. 
   
9.     -A PREROUTING  -p tcp --dport 8000  -j DROP
   
10.     -A FORWARD     -p tcp --dport 8000  -j DROP
    
11.     -A FORWARD     -p tcp --sport 8000  -j DROP
    
12. 
    
13.     -A PREROUTING  -p udp --dport 8000  -j DROP
    
14.     -A FORWARD     -p udp --dport 8000  -j DROP
    
15.     -A FORWARD     -p udp --sport 8000  -j DROP
    
16. 
    
17.     -A PREROUTING  -p udp --dport 4000  -j DROP
    
18.     -A FORWARD     -p udp --dport 4000  -j DROP
    
19.     -A FORWARD     -p udp --sport 4000  -j DROP

复制代码

bingosek

到华军软件园上随便弄个端口扫描工具就应该可以了

platinum

原帖由 "mocou" 发表：

如果是NAT的话，那只跟FORWARD，PREROUTING链有关。你试试装这些用户的FORWARD跟PREOUTING关掉看看还能不能上

不知你是否看了前面我做的两个试验？