求助:iptables的FORWARD问题

Linux@初学者

我的规则:
Chain FORWARD (policy DROP)
target     prot opt source               destination         
DROP       all  --  0.0.0.0/0            0.0.0.0/0           ipp2p v0.8.1_rc1 --bit
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80
先是用iptables -P FORWARD DROP
测试后发现内网机器啥都访问不了,比如WEB,PING,但我加了
iptables -A FORWARD -p icmp -j ACCEPT后,可以PING外网,奇怪的是我加上上面的规则后用IE无法打开网页,DNS没问题
加上规则后:

Chain FORWARD (policy DROP)
target     prot opt source               destination         
DROP       all  --  0.0.0.0/0            0.0.0.0/0           ipp2p v0.8.1_rc1 --bit
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:80
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           

[root@RHEL4 soft]# iptables -nL -t nat
Chain PREROUTING (policy ACCEPT)
target     prot opt source               destination         

Chain POSTROUTING (policy ACCEPT)
target     prot opt source               destination         
MASQUERADE  all  --  0.0.0.0/0            0.0.0.0/0           

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

on-fire

当然是有很大的问题，FORWARD链默认为DROP，能出去，但数据包回不来，因为sport为80的包不能通过防火墙回来，所以不能通过IE去访问互联网。

Linux@初学者

那我加上sport 80还不行,但我加上:
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
就行了,请句是啥意思?

on-fire

看来您真的是要认真的看看文档资料才行。
iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
说的是连接在ESTABLISHED,RELATED状态下包被接受，至于这两个状态是什么东西，请看书。（因为不是三两句话能说得明白的）

[ 本帖最后由 on-fire 于 2006-8-11 17:22 编辑 ]

fish007

找白金版主,或johnbull,他们是iptables的"好朋友",了解得很!