Сайты не открываются по доменным именам. Iptables. [Решено]

[Cool_Lamer]

В какой-то момент, после применения каких-то из настроек, на сервере перестали открываться/пинговаться сайты по доменным именам, по ip-адресам всё прекрасно.

[ksa]

после применения каких-то из настроек

Каких настроек ? На сервере тыкаться наобум - себе дороже. Телепаты в отпуску нынче

[Cool_Lamer]

Каких настроек ? На сервере тыкаться наобум - себе дороже. Телепаты в отпуску нынче

Настраивалась сеть на etcnet, добавлялись маршруты, редактировался iptables. Дело не в том что тыкали наобум)) Просто после каких именно настроек не понятно, ибо до настоящего времени необходимости открывать доменные имена, не было.

[asy]

что в /etc/resolv.conf ? При этом, следует помнить, что resolv.conf может копироваться из описания интерфейса в etcnet в момент активирования интерфейса.

[Cool_Lamer]

что в /etc/resolv.conf ? При этом, следует помнить, что resolv.conf может копироваться из описания интерфейса в etcnet в момент активирования интерфейса.

В resolv только адрес DNS сервера

Код: [Выделить]

nameserver 194.158.206.206


[asy]

Этот сервер точно работает ?
"host www.ru 194.158.206.206" ip показывает ?

[Cool_Lamer]

"host www.ru 194.158.206.206" ip показывает ?

не понял, это команда? Нет, подвисает и ничего не происходит.

Код: [Выделить]

]# host www.ru 194.158.206.206
;; connection timed out; no servers could be reached

днс-сервер работает 100% через него 500 абонентов сидят (напомню интернет работает, только доменные имена с свервера не отрываются). С настройками iptables это не связано (скрин выше)?

Насчёт есть ли на сервере интернет, я сейчас на нём по ssh через интернет.

[Cool_Lamer]

Такс, вырубил iptables, заработало, что я не так написал в правилах?

iptables

# Generated by iptables-save v1.4.10 on Fri Feb  7 13:57:06 2014
*nat
:PREROUTING ACCEPT [32159029:2771992823]
:INPUT ACCEPT [3073:160282]
:OUTPUT ACCEPT [4727:337253]
:POSTROUTING ACCEPT [3821:262531]
-A PREROUTING -d <ip_eth0>/32 -p tcp -m tcp --dport 9089 -j DNAT --to-destination 10.3.21.10:9089
-A PREROUTING -d <ip_eth0>/32 -p tcp -m tcp --dport 7012 -j DNAT --to-destination 10.3.21.10:7012
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Fri Feb  7 13:57:06 2014
# Generated by iptables-save v1.4.10 on Fri Feb  7 13:57:06 2014
*filter
:INPUT ACCEPT [7510:694356]
:FORWARD ACCEPT [561537880:406168347700]
:OUTPUT ACCEPT [70659:23204595]
-A INPUT -p udp -m udp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p udp -m udp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p udp -m udp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p udp -m udp --dport 8090 -j ACCEPT - висит техническая инфа
-A INPUT -p tcp -m tcp --dport 8090 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7012 -j ACCEPT - висит тех.инфа2
-A INPUT -p icmp -j ACCEPT
-A INPUT -i eth+ -j DROP
COMMIT
# Completed on Fri Feb  7 13:57:06 2014

[akarp]

что я не так написал в правилах

53 порт

[asy]

-A INPUT -p udp -m udp --dport 8090 -j ACCEPT - висит техническая инфа
-A INPUT -p tcp -m tcp --dport 7012 -j ACCEPT - висит тех.инфа2

Про "-A INPUT -p udp -m udp --dport 53 -j ACCEPT" уже написано.
но раз там NAT, надо бы ещё tcp/udp >1024 на вход открыть, по идее.
А что касается отквоченных строчек, можно прямо вот так:

Код: [Выделить]

-A INPUT -p udp -m udp --dport 8090 -j ACCEPT -m comment --comment "висит техническая инфа"


[Cool_Lamer]

asy, за 53ый порт спасибо, сейчас буду пробовать.
Насчёт

Код: [Выделить]

-A INPUT -p udp -m udp --dport 8090 -j ACCEPT -m comment --comment "висит техническая инфа"ещё раз спасибо, буду знать, но это я просто попдисал, чтобы лишних вопросов не возникло, а оно получилось наоборот 

но раз там NAT, надо бы ещё tcp/udp >1024 на вход открыть, по идее.

Зачем?

- - - - -  - - - - - - - - -
Попробовал, на всякий случай ещё и tcp на 53й. Не пошло.

Спойлер

#
*filter
:INPUT ACCEPT [22:1794]
:FORWARD ACCEPT [2986637:2265327019]
:OUTPUT ACCEPT [1075:150498]
-A INPUT -p udp -m udp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p udp -m udp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p udp -m udp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p udp -m udp --dport 8090 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8090 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7012 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 53 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i eth+ -j DROP
COMMIT

[akarp]

RELATED, ESTABLISHED - но из-за его обидчивости он это не увидит, пока кто-нибудь не продублирует.

[asy]

но раз там NAT, надо бы ещё tcp/udp >1024 на вход открыть, по идее.

Зачем?

Потому, что цепочкам трансляции надо как-то работать, а пакеты ответные летят в INPUT, а не в FORWARD.

[Cool_Lamer]

RELATED, ESTABLISHED - но из-за его обидчивости он это не увидит, пока кто-нибудь не продублирует.

Код: [Выделить]

[root@d123 sysconfig]# iptables -L -v
Chain INPUT (policy ACCEPT 21 packets, 1803 bytes)
 pkts bytes target     prot opt in     out     source               destination
   13   885 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:domain
    0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:22
   27  1756 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:22
    3   143 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:http
   34  1615 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:http
    5   238 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:https
   25  1344 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:https
    0     0 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:8090
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:8090
    0     0 ACCEPT     tcp  --  any    any     anywhere             anywhere            tcp dpt:7012
   71  7469 ACCEPT     icmp --  any    any     anywhere             anywhere
89058   12M DROP       all  --  eth+   any     anywhere             anywhere

Chain FORWARD (policy ACCEPT 2460K packets, 1683M bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 523 packets, 46071 bytes)
 pkts bytes target     prot opt in     out     source               destination
   13  1435 ACCEPT     udp  --  any    any     anywhere             anywhere            udp spt:domain dpts:1024:65535
   19  1224 ACCEPT     udp  --  any    any     anywhere             anywhere            udp dpt:domain
[root@123 sysconfig]# ping ya.ru
ping: unknown host ya.ru


Спойлер

*filter
:INPUT ACCEPT [88:7454]
:FORWARD ACCEPT [14775405:9961037784]
:OUTPUT ACCEPT [3096:324267]
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -p udp -m udp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p udp -m udp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p udp -m udp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p udp -m udp --dport 8090 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 8090 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 7012 -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i eth+ -j DROP
-A OUTPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
COMMIT

Не аллё

[asy]

-A OUTPUT -p udp -m udp --sport 53 --dport 1024:65535 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT

OUTPUT-то почему ? Это что NAT касается:
-A INPUT -p udp -m udp --dport 1024:65535 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 1024:65535 -j ACCEPT

Остальное подскажет tcpdump. Может и к DNS запросы уходят с >1024. Имеют право, в общем-то.