☰

如何在 centos 中调试防火墙设置？

tag-icon • tag-icon centos ssh firewall port
如何在 centos 中调试防火墙设置？

我正在尝试将我的默认 ssh 端口更改为 21212，但似乎有什么东西阻塞了新端口。

编辑 ssh 配置并重新启动服务后，我可以看到netstat -lsshd 现在正在监听新端口。

tcp        0      0 0.0.0.0:21212           0.0.0.0:*               LISTEN
tcp6       0      0 [::]:21212              [::]:*                  LISTEN

并且 systemctl 显示firewalld 处于非活动状态。

● firewalld.service - firewalld - dynamic firewall daemon
   Loaded: loaded (/usr/lib/systemd/system/firewalld.service; disabled; vendor preset: enabled)
   Active: inactive (dead)
   Docs: man:firewalld(1)

并且还sestatus显示 SELinux 已被禁用。

SELinux status:                 disabled

但是当我尝试通过新端口连接时，我的连接超时了。

我该如何调试/分析这个问题？

+ 我可以连接到使用同一托管公司/端口的另一台服务器(21212)

输出iptables -L

Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

tcpdump 的输出

19:59:47.470133 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [SEW], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340882351 ecr 0,sackOK,eol], length 0
19:59:48.473671 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340883351 ecr 0,sackOK,eol], length 0
19:59:49.479787 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340884351 ecr 0,sackOK,eol], length 0
19:59:50.482778 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340885351 ecr 0,sackOK,eol], length 0
19:59:51.485576 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340886351 ecr 0,sackOK,eol], length 0
19:59:52.489498 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340887351 ecr 0,sackOK,eol], length 0
19:59:54.504307 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340889352 ecr 0,sackOK,eol], length 0
19:59:58.523589 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340893352 ecr 0,sackOK,eol], length 0
20:00:06.581364 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340901352 ecr 0,sackOK,eol], length 0
20:00:22.739680 IP @@@.@@@.@@@.@@@.63719 > ###.###.###.###.21212: Flags [S], seq 3386796907, win 65535, options [mss 1460,nop,wscale 5,nop,nop,TS val 340917352 ecr 0,sackOK,eol], length 0

答案1

启动tcpdump并连接到相关端口上的主机。

如果您的虚拟机上有什么东西阻塞了流量，tcpdump 仍会显示SYN数据包。如果根本没有流量，沿途的另一个盒子可能会丢弃您的流量。另外，验证您的网络配置是否正常。

相关内容