iptables阻止DNS服务器

Question

我想配置我的服务器以允许传入的DNS查询。由托管公司设置的默认服务器允许端口443,80和22上的流量。

我修改了iptables文件以尝试允许端口53上的请求，但我没有收到来自BIND的任何响应。关闭防火墙允许DNS请求通过，以便向我建议名称服务器正常工作。该设置是CentOS 5.5。

这是iptables文件;我会很感激，如果有人能告诉我我在这里失踪，为了得到这个工作。

在此先感谢。

==================

# Firewall configuration written by system-config-securitylevel 
# Manual customization of this file is not recommended. 
*filter 
:FORWARD ACCEPT [0:0] 
:INPUT ACCEPT [0:0] 
:RH-Firewall-1-INPUT - [0:0] 
:OUTPUT ACCEPT [0:0] 
-A INPUT -j RH-Firewall-1-INPUT 
-A FORWARD -j RH-Firewall-1-INPUT 
-A RH-Firewall-1-INPUT -i lo -j ACCEPT 
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT 
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT 
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT 
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 1024:65535 --sport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -m udp --dport 1024:65535 --sport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 80 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 443 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited 
COMMIT 
# Generated by webmin 
*mangle 
:FORWARD ACCEPT [0:0] 
:INPUT ACCEPT [0:0] 
:OUTPUT ACCEPT [0:0] 
:PREROUTING ACCEPT [0:0] 
:POSTROUTING ACCEPT [0:0] 
COMMIT 
# Completed 
# Generated by webmin 
*nat 
:OUTPUT ACCEPT [0:0] 
:PREROUTING ACCEPT [0:0] 
:POSTROUTING ACCEPT [0:0] 
COMMIT 
# Completed 

Answer 1

这条线从你的规则是完全错误的：

-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 1024:65535 --sport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -m udp --dport 1024:65535 --sport 53 -j ACCEPT 

你说：允许从远程端口53流量到本地端口1024 - 65535
我相信DNS正在侦听端口53.试试这个（使每一个TCP/UDP流量目的地端口53）：

-A RH-Firewall-1-INPUT -p tcp --dport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp --dport 53 -j ACCEPT 

这些行不会做任何事情： 以下行允许，协议号50（ESP）和51（AH）（来源：IANA Protocol Numbers）交通

-A RH-Firewall-1-INPUT -p 50 -j ACCEPT 
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT