如何在 Ubuntu Headless 中使用 iptables 通过接口过滤允许 DNS

Question 1

第一个问题是，您能访问您的 DNS 服务器吗？如果您阻止了除 tun0 之外的所有服务器的访问，则您很可能阻止了 DNS 访问。

如果您在本地运行某种 DNS 服务器，比如 Bind 或 dnsmasq，那么该服务也需要能够访问互联网。

我建议在拒绝之前向您的 iptables 添加一个日志条目，以查看哪些流量被拒绝。

使用端口 53 是破坏安全性的标准方法，因此打开 *:53 可能不明智，因此最好专门指定您的 DNS 服务器（本地和上游）作为可接受的流量目标。我假设 --sport xxxx 的意思是您正在为您的 Web 服务使用非标准端口而不是 :80。如果不是，您应该在 192.168 规则中指定它（对于 IP 也是如此，它应该是完整的 /32 地址）。

另外别忘了，如果您想使用 ping 进行测试，您需要为 ICMP 设置 iptable 条目。ICMP 8（echo）是 ping，ICMP 0 是 ping 回复。

还需要考虑您拥有哪些路由，因为您需要确保流量的默认路由是 tun0。如果 tun0 是唯一允许的接口，您需要确保所需的所有路由都通过该接口发送流量。

如果这不能诊断出您的问题，请使用 ethtool 进行一些网络嗅探，以查看哪些对话正在进行，哪些对话没有进行。这可能是一些奇怪的事情，例如允许 REQ，但 ACK 没有返回。

Answer

第一个问题是，您能访问您的 DNS 服务器吗？如果您阻止了除 tun0 之外的所有服务器的访问，则您很可能阻止了 DNS 访问。

如果您在本地运行某种 DNS 服务器，比如 Bind 或 dnsmasq，那么该服务也需要能够访问互联网。

我建议在拒绝之前向您的 iptables 添加一个日志条目，以查看哪些流量被拒绝。

使用端口 53 是破坏安全性的标准方法，因此打开 *:53 可能不明智，因此最好专门指定您的 DNS 服务器（本地和上游）作为可接受的流量目标。我假设 --sport xxxx 的意思是您正在为您的 Web 服务使用非标准端口而不是 :80。如果不是，您应该在 192.168 规则中指定它（对于 IP 也是如此，它应该是完整的 /32 地址）。

另外别忘了，如果您想使用 ping 进行测试，您需要为 ICMP 设置 iptable 条目。ICMP 8（echo）是 ping，ICMP 0 是 ping 回复。

还需要考虑您拥有哪些路由，因为您需要确保流量的默认路由是 tun0。如果 tun0 是唯一允许的接口，您需要确保所需的所有路由都通过该接口发送流量。

如果这不能诊断出您的问题，请使用 ethtool 进行一些网络嗅探，以查看哪些对话正在进行，哪些对话没有进行。这可能是一些奇怪的事情，例如允许 REQ，但 ACK 没有返回。

Question 2

一种简单的方法是创建一个服务 .conf，它将保留您喜欢的任何 iptables 规则。

您可以安装一个包来执行此操作，但手动方式如下：

sudo vi /etc/init/persist-iptables.conf

你可以随意命名，只要确保它/etc/init/以.conf

然后您要插入以下几行：

description "Persist IPTables on Boot"

start on runlevel [2345]

script
        # Accept all loopback traffic localhost or 127.0.0.1
        iptables -A INPUT -i lo -j ACCEPT
        iptables -A OUTPUT -o lo -j ACCEPT

        # Accept any DNS traffic, I use a DD-WRT router with
        # Force DNS Redirection to a non-logging DNS
        iptables -A OUTPUT -d 255.255.255.255 -j ACCEPT
        iptables -A INPUT -s 255.255.255.255 -j ACCEPT

        # Accept all local traffic from 192.168.1.1-192.168.1.255
        iptables -A INPUT -s 192.168.1.0/24 -d 192.168.1.0/24 -j ACCEPT
        iptables -A OUTPUT -s 192.168.1.0/24 -d 192.168.1.0/24 -j ACCEPT

        # Forward all eth0, eth1, etc through tun interfaces
        iptables -A FORWARD -i eth+ -o tun+ -j ACCEPT
        iptables -A FORWARD -i tun+ -o eth+ -j ACCEPT

        # Postroute masquerade through tun interfaces
        iptables -t nat -A POSTROUTING -o tun+ -j MASQUERADE

        # Drop any other traffic through eth adapters
        iptables -A OUTPUT -o eth+ ! -d a.b.c.d -j DROP
end script

现在，当你的系统重新启动时（这会清除你的 IP 表），它将自动运行以再次更新 iptables。你也可以自己调用它sudo service persist-iptables start

该文件将允许所有本地主机流量，允许所有 DNS 流量（您需要确保它是来自路由器的正确 DNS），允许所有本地流量，将流量从 eth 适配器转发到 tun 适配器并对其进行后路由屏蔽，最后丢弃任何其他流量。

Answer