PROBLEMA DO CÓDIGO IPTABLES

Question

Estou usando o iptables para bloquear todas as portas. No entanto, para permitir o ping www.google.com, estou usando o seguinte código

filter -A INPUT -p tcp --dport 53 -j ACCEPT
filter -A OUTPUT -p tcp --sport 53  -j ACCEPT
filter -A INPUT -p udp --dport 53 -j ACCEPT
filter -A OUTPUT -p udp --sport 53 -j ACCEPT

Isso funciona bem, mas salvá-lo me dá erro porque usar o filtro no início não é o caminho certo. No entanto, quando uso o código sem filtro de palavras, o ping para www.google.com não funciona. PS Estou salvando diretamente para arquivos iptables em / etc / sysconfig

Edit: Ok, parece que o filtro quebrou todo o código e o iptables estava apagando todas as regras. O problema é que não consigo fazer o ping em www.google.com apesar de abrir minha porta DNS.

    

Answer 1

O utilitário ping usa ICMP (protocolo de controle de mensagens da Internet) , não UDP (User Datagram Protocol) ou TCP (Protocolo de Controle de Transmissão) . Para permitir solicitações ping de saída através de seu firewall, você pode adicionar uma regra como a seguinte:

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ALLOW

Você provavelmente também deseja adicionar uma regra como a seguinte para permitir o tráfego de retorno:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

    

Answer 2

A ordenação das regras do iptables é importante: a regra de correspondência primeiro com -j ACCEPT , -j DROP ou -j REJECT decidirá o destino do pacote. Adicionar novas regras depois de uma regra "soltar tudo" não terá efeito, pois os pacotes correspondentes nunca atingiriam essa regra.

    

Answer 3

Ok, as regras corretas foram essas. Consegui-lo de um problema do fórum resolvido.

-A INPUT -p udp --sport 53 -j ACCEPT
-A INPUT -p udp --dport 53 -j ACCEPT
-A OUTPUT -p udp --sport 53 -j ACCEPT
-A OUTPUT -p udp --dport 53 -j ACCEPT