☰

防火墙是否阻止返回流量？

tag-icon • tag-icon networking debian port forwarding firewalld
防火墙是否阻止返回流量？

我在 Debian 7 上尝试通过防火墙将请求转发到其他机器，并进行以下设置：

--HOSTNAME-- ----IP-----  ------------Configuration-------------
Firewall     192.168.0.2  (Debian 7, firewalld,       static ip)
DHCP         192.168.0.3  (Debian 7, isc-dhcp-server, static ip)
DNS (Master) 192.168.0.4  (Debian 7, bind9m,          static ip)
DNS (Slave)  192.168.0.5  (Debian 7, bind9,           static ip)

我的防火墙对 DNS 进行规则（主和从）

<zone>
  <short>Public</short>

  <port protocol="udp" port="53"/>
  <port protocol="tcp" port="53"/>
</zone>

我的防火墙上的firewalld规则

<zone>
  <short>Public</short>

  <forward-port to-addr="192.168.0.4" to-port="53" protocol="tcp" port="53"/>
  <forward-port to-addr="192.168.0.4" to-port="53" protocol="udp" port="53"/>
</zone>

当我尝试

$ ping hostname.mylocaldomain.com

从任何一台机器上，它都是成功的，因为我已经在 resolv.conf 中设置好了一切，可以使用我的 DNS 服务器。问题是，我想将所有流量路由通过防火墙。不讨论总体目标，我将描述当前的问题：

假设我更改 DHCP 中的 /etc/resolv.conf 以指向防火墙，从而允许它将请求路由到适当的位置：

search mylocaldomain.com
nameserver 192.168.0.4
nameserver 8.8.8.8
nameserver 8.8.4.4

ping 失败，因此我使用 tcp dump 并得到以下结果

# tcpdump port 53
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth0, link-type EN10MB (Ethernet), capture size 262144 bytes
18:06:01.377752 IP PingFromMe.mylocaldomain.com.47588 > firewall.mylocaldomain.com.domain: 4279+ A? ns2.mylocaldomain.com. (34)
18:06:01.469696 IP PingFromMe.mylocaldomain.com.37619 > firewall.mylocaldomain.com.domain: 36025+ A? ns2.mylocaldomain.com.mylocaldomain.com. (47)
18:06:01.638045 IP firewall.mylocaldomain.com.42684 > ns1.mylocaldomain.com.domain: 41778+ PTR? 6.0.168.192.in-addr.arpa. (42)
18:06:01.639278 IP ns1.mylocaldomain.com.domain > firewall.mylocaldomain.com.42684: 41778* 1/2/0 PTR firewall.mylocaldomain.com. (113)
18:06:01.639486 IP firewall.mylocaldomain.com.36812 > ns1.mylocaldomain.com.domain: 54761+ PTR? 3.0.168.192.in-addr.arpa. (42)
18:06:01.639881 IP ns1.mylocaldomain.com.domain > firewall.mylocaldomain.com.36812: 54761* 1/2/0 PTR PingFromMe.mylocaldomain.com. (107)
18:06:02.641371 IP firewall.mylocaldomain.com.39348 > ns1.mylocaldomain.com.domain: 6957+ PTR? 4.0.168.192.in-addr.arpa. (42)
18:06:02.642031 IP ns1.mylocaldomain.com.domain > firewall.mylocaldomain.com.39348: 6957* 1/2/0 PTR ns1.mylocaldomain.com. (106)

不确定我是否看得正确，但在我看来，一切正常，返回流量只是没有被路由回 PingFromMe.mylocaldomain.com

我的问题有三点。

  • 我认为这里发生的事情是我无法获得主机名解析的原因吗？
  • Firewalld 没有配置成这样进行路由吗？
  • 当然，我该如何解决这个问题呢？

*注：IP 地址应该与设置列表中的相同，因此当查看我的 tcp 捕获时，为了简洁起见，请按主机名引用机器。

相关内容