iptables dns

Posted 2023-04-06

真闹心 用了linux做防火墙之后 很是郁闷 感觉没有isa阵列好

我默认是drop iptables -t filter -A FORWARD -p udp --dport 53 -j ACCEPT 很不稳定

最后看日志 才明白
iptables -A INPUT -i etho0 -p udp -sport 53 -j ACCEPT

确实是可以了 但是我想问为什么forward不行 在input设置倒是成功了

参考技术A 你的网络环境是什么样的？

FORWARD 是对所有通过你的linux"转发"的包起作用的，常见用法是你的linux作为路由器（网关）的时候，才会有包被linux转发，这些包的目的地不是这台linux，而是其他的主机，只不过中间经过了这台linux而已。

而INPUT是对所有目的地就是你的linux自身的包起作用的。比方说你的linux上启动了一个FTP服务器，那么所有目的地IP是这个linux机器，端口是23的包都可以使用INPUT规则。

搞清楚这两个不同后，再结合你的网络环境，你就能搞清楚为什么一个工作一个不工作了。 参考技术B 默认是drop，对udp端口53都接受。forward链，正如其词义，使用于转发的。也就是被你那台机器转发的包，才会在那条规则中处理。
而input链呢，一般流向本地的包会在那个链里处理。具体的，你可以google下“Iptables 指南 1.1.19”那个文档说得挺详细的，虽然翻译差强人意。本回答被提问者采纳

linux dns服务器怎么设置

在linux系统中一般通过bind软件包来提供dns服务。

1、环境准备：

临时关闭selinux和iptables

#setenforce 0
#service iptables stop

2、查询相关软件包：

[root@localhost ~]# yum search bind
Loaded plugins: product-id, refresh-packagekit, subscription-manager
Updating Red Hat repositories.
====================================================================================== N/S Matched: bind ======================================================================================
PackageKit-device-rebind.i686 : Device rebind functionality for PackageKit
bind.i686 : The Berkeley Internet Name Domain (BIND) DNS (Domain Name System) server
bind-chroot.i686 : A chroot runtime environment for the ISC BIND DNS server, named(8)
bind-utils.i686 : Utilities for querying DNS name servers

其中各软件包的作用如下：

1）、bind: 提供域名服务的主要程序及相关文件。

2）、bind-chroot：为bind提供一个伪装的根目录以增强安全性。

3）、bind-utils：提供对DNS服务器测试的工具程序（如nslookup、dig等）。

3、安装BIND软件包

#yum install *bind*

4、配置DNS服务器：

1）、bind服务器端程序

主要执行程序：/usr/sbin/named

服务脚本：、etc/init.d/named

默认监听端口：53

主配置文件： /etc/named.conf

保存DNS解析记录的数据文件: /var/named/chroot/var/named

 

2）、查询bind程序的配置文件列表

[root@localhost ~]# rpm -qc bind
/etc/logrotate.d/named
/etc/named.conf
/etc/named.iscdlv.key
/etc/named.rfc1912.zones
/etc/named.root.key
/etc/rndc.conf
/etc/rndc.key
/etc/sysconfig/named
/var/named/named.ca
/var/named/named.empty
/var/named/named.localhost
/var/named/named.loopback

3）、查看主配置文件named.conf

#vim /etc/named.conf

4）、主配置文件解析：

a、全局配置部分，默认的全局配置项如下：

options 
 11         listen-on port 53  127.0.0.1; ;                 //监听的端口和接口IP地址
 12         listen-on-v6 port 53  ::1; ;
 13         directory       "/var/named";                       //dns区域的数据文件默认存放位置
 14         dump-file       "/var/named/data/cache_dump.db";
 15         statistics-file "/var/named/data/named_stats.txt";
 16         memstatistics-file "/var/named/data/named_mem_stats.txt";
 17         allow-query      localhost; ;                 //允许dns查询的客户机列表，any表示所有
 18         recursion yes;                                       //是否允许客户机进行递归查询
 19
 20         dnssec-enable yes;
 21         dnssec-validation yes;
 22         dnssec-lookaside auto;
 23
 24         /* Path to ISC DLV key */
 25         bindkeys-file "/etc/named.iscdlv.key";
 26 ;

 

全局配置中还有如下选项：

     //将本域名服务器不能解析的条目转发给其它DNS服务器的IP地址
     forwarders 202.102.24.68;12.3.3.3;;

 

b、默认的区域配置项如下：

 35 zone "." IN 
 36         type hint;      //区域类型。hint为根区域；master为主区域; slave为辅助区域
 37         file "named.ca";          //该区域对应的区域数据配置文件名
 38 ;

 

区域配置中还有如下选项：

//允许下载区域数据库的从域名服务器IP地址
allow-transfer 189.98.90.23;;              
//允许动态更新的客户端IP地址（none表示全部禁止）
allow-update none;;

 

添加如下区域配置：

zone “my.com” IN 
         type master;                      //主区域
         file “my.com”;                    //该区域对应的区域数据配置文件名
allow-transfer 192.168.153.1;;           //允许下载区域数据库的从域名服务器IP地址
         allow-update none;;
;
zone “153.168.192.in-addr.arpa” IN        //表示针对IP192.168.153.130反向解析
         type master;                      //主区域
         file “192.168.153.my.arpa”;       //该区域对应的区域数据配置文件名
;

 

5）、配置完了，可以执行如下命令对named.conf文件进行语法检查。

#named-checkconf

注意：倒序网络地址.in-addr.arpa 表示反向区域

 

主配置文件最后还有一行是：

//该文件包含/etc/named.rfc1912.zones文件
include “/etc/named.rfc1912.zones”

 

区域数据配置文件：

先看一下named.localhost的内容：

$TTL 1D             //time to live 生存时间
@       IN SOA  @ rname.invalid. (                    //”rname.invalid”DNS区域地址
                                        0       ; serial      //更新序列号
                                        1D      ; refresh  //更新时间
                                        1H      ; retry      //重试延时
                                        1W      ; expire   //失效时间
                                        3H )    ; minimum          //无效地址解析记录的默认缓存时间
        NS      @              //name server 域名服务记录
        A       127.0.0.1                   //address 只用在正向解析的区域数据文件中
        AAAA    ::1

 

新建2个对应的区域数据配置文件：

#touch my.com
#touch 192.168.153.my.arpa
#vim my.com
$TTL 86400
@ IN SOA my.com. admin.my.com (        //admin.my.cm为该区域管理员的邮箱地址
        200900201
        3H
        15M
        1W
        1D
)
@       IN      NS      ns1.my.com.           //当前域的DNS服务器地址
        IN      MX      10      mail.my.com.         //用于设置当前域的邮件服务器域名地址，数字10表示优先级别，数字越大优先级越低
ns1     IN      A       192.168.153.130
mail    IN      A       192.168.153.130
www     IN      A       192.168.153.130
ftp     IN      CNAME   www                 //CNAME别名（canonical name）记录，表示ftp.my.com和www.my.com对应同一个IP.
 
[root@localhost named]# vim 192.168.153.my.arpa
$TTL 86400
@ IN SOA my.com. admin.my.com (
        200900201
        3H
        15M
        1W
        1D
)
@       IN      NS      ns1.my.com.
130     IN              PTR     ftp.my.com

 

启动DNS服务

[root@localhost ~]# service named start

 

4、测试：

配置一台ftp服务器用于测试：

#service vsftpd start            //启动vsftpd服务当前网卡的配置：
eth0: 192.168.0.1/24
eth1: 192.168.153.130/24

 

[root@localhost named]# nslookup 192.168.153.130
Server:               127.0.0.1
Address:  127.0.0.1#53
 
130.153.168.192.in-addr.arpa         name = www.my.com.
 
[root@localhost ~]# nslookup ftp.my.com
Server:               127.0.0.1
Address:  127.0.0.1#53
 
ftp.my.com       canonical name = www.my.com.
Name:      www.my.com
Address: 192.168.153.130 参考技术A 在红帽RHEL6系统中网卡配置文件的前缀为"eth"，第1块即为"eth0"，第2块即为"eth1"并依此类推……
而在红帽RHEL7系统中网卡配置文件的前缀则为"ifcfg-eno"，例如"ifcfg-eno16777736"。
网卡的配置文件存放在"/etc/sysconfig/network-scripts"目录中。
在修改配置文件前，先来学些关键词术语吧：
网卡类型:TYPE=Ethernet
地址分配模式:BOOTPROTO=static
网卡名称:NAME=eno16777736
是否启动:ONBOOT=yes
IP地址:IPADDR=192.168.10.10
子网掩码:NETMASK=255.255.255.0
网关地址:GATEWAY=192.168.10.1
DNS地址:DNS1=192.168.10.1

上面的网卡配置文件代表着“这是一个以太网卡设备，名称为"eno16777736"且开机自动启动，IP地址等信息需由人工指定”。
配置网卡信息前先来理清思路：
第1步:首先我们要切换到"/etc/sysconfig/network-scripts"目录中（该目录存放着网卡的配置文件）。
第2步:使用vim命令修改文件"ifcfg-eno16777736"。
第3步:逐项写入配置参数，并保存退出。
第4步:重新启动网卡命令:"systemctl restart network"。
第5步:通过ping命令测试网卡信息是否生效。
切换到网卡配置文件所在的目录：
[root@linuxprobe ~]# cd /etc/sysconfig/network-scripts/

编辑网卡配置文件并填入下面的信息：
[root@linuxprobe network-scripts]# vim ifcfg-eno16777736
TYPE=Ethernet
BOOTPROTO=static
NAME=eno16777736
ONBOOT=yes
IPADDR=192.168.10.10
NETMASK=255.255.255.0
GATEWAY=192.168.10.1
DNS1=192.168.10.1

重新启动网卡，正常情况不会提示信息:
[root@linuxprobe network-scripts]# systemctl restart network

百度搜索《linux就该这么学》第4章 Vim编辑器与Shell命令脚本