关于iptables设置的相关问题

Clownunix

关于在本地搭建DNS服务后，iptables这样写后不能ping自己的域名，而其他的计算机可以ping通。这是什么原因呢？
以下是iptables的全部配置：
[root@centos ~]# iptables -L
Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:http
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:https
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy DROP)
target     prot opt source               destination
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:http
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:https
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:domain
ACCEPT     udp  --  anywhere             anywhere            udp spt:domain
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere            udp dpt:domain
ACCEPT     tcp  --  anywhere             anywhere            tcp spt:ssh

在本地ping的话，不能ping成功：（域名不能发，就用#####来代替吧，晕）
[root@centos ~]# ping #####
ping: unknown host #####

而在其他计算机中使用ping，却可以成功ping进去：
C:\Users\Administrator>ping #####

正在 Ping ##### [17.17.17.5] 具有 32 字节的数据:
来自 17.17.17.5 的回复: 字节=32 时间<1ms TTL=64
来自 17.17.17.5 的回复: 字节=32 时间<1ms TTL=64
来自 17.17.17.5 的回复: 字节=32 时间<1ms TTL=64
来自 17.17.17.5 的回复: 字节=32 时间<1ms TTL=64

17.17.17.5 的 Ping 统计信息:
    数据包: 已发送 = 4，已接收 = 4，丢失 = 0 (0% 丢失)，
往返行程的估计时间(以毫秒为单位):
    最短 = 0ms，最长 = 0ms，平均 = 0ms

yyu0378

先用nslookup尝试解析一下域名，能解析就是icmp相关条目有问题，如果不能就是dns的条目有问题

lyhabc

你自己电脑问题吧

Clownunix

回复 2# yyu0378
我感觉是iptables的问题。以为感觉OUTPUT写错了。

chenyx

1. iptables -I INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
   
2. iptables -I OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

复制代码

lz添加这个规则到你的iptables规则里面测试下

Clownunix

回复 5# chenyx
还是不行，外网的用户可以ping通，但是自己始终不能ping通自己的域名或者访问自己的域名网站。

井蛙夏虫

本机用的dns服务器与其他计算机一样吗

Clownunix

回复 7# 井蛙夏虫
是一样的，关闭iptables可以通，开启iptables就unknown

井蛙夏虫

回复 8# Clownunix
把这个命令的结果发一下

1. iptables -L -v

复制代码

Clownunix

问题已解决！自己找到了问题所在。（就当总结一下吧，顺便给哪些和我一样才学的朋友一点思路）
原因在于：
         iptables本身服务器想ping自己（这里设想成ping的其他服务器），那么就等于是自己需要ping通外面，那么OUTPUT链表就需要放行来源为127.0.0.1的地址通过。所以我在iptables中添加了如下两条命令：
                 iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT      //这里OUTPUT链表使用了dport的理解为：允许来源127.0.0.1的地址的数据通过OUTPUT链表出去
                        iptables -A OUTPUT -p udp --dport 53 -j ACCEPT    //如上一样的理解。（只是不同的协议而已）
            这里似乎只需要udp协议的53就可以通行了，不过我还是将两条都加上去了。
         如果有哪位大神有什么补充的话，请留言哦，谢谢！