CentOS下配置iptables碰到域名解析失败的问题

最新推荐文章于 2025-01-16 17:49:55 发布

原创最新推荐文章于 2025-01-16 17:49:55 发布 · 8k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#ECS #iptables #域名解析

网络编程专栏收录该内容

3 篇文章

订阅专栏

在阿里ECS上配置iptables后，遇到域名解析失败的问题。通过停止iptables服务确认问题源头，发现是iptables未开放DNS解析所需的53端口。尝试添加规则允许53端口的UDP和TCP通信，但问题仍然存在。阿里技术支持建议放开所有输入UDP端口，但问题仍未解决。最终，了解到iptables配置策略和nscd服务对域名解析速度的影响。

1，问题背景。

在阿里ECS上调用第三方短信接口，始终无法成功。接口不是IP地址，而是一个带域名的 URL接口。

2，问题原因

网络调测，首先便是两头一掐，确认别人根本没有收到我的请求，于是开始分析我发出去的报文。

根据发送请求返回的错误码，说是主机名无法解析。我用curl发送的请求，首先是百度一番，还真有人同样的错误码，但细一瞅，就觉得大不同，别人是什么IPV6影响。

我这个都没启动IPV6了。我寻思，既然短信包发不出去，就curl下其它域名网站，百度主页简单，就拿它测试吧。果然不行，证实所有的域名解析都无法成功。

我自然想到了端口限制，为了安全，配置了server的iptables策略。先证实下是不是这个原因。直接如下命令停用防火墙：service iptables stop，再运行程序，OK啦。

知道原因后，心中也不慌了，找资料得知域名解析用的53端口，于是iptables命令加上53端口(如下UDP和TCP都加满)。

iptables -A INPUT -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --sport 53 -j ACCEPT

iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p tcp --sport 53 -j ACCEPT

满以为事情就OVER了，谁知只要启动iptables就不行。依然报域名无法解析。给阿里提了工单，答复如下：

心想，把所有input的端口都要放开，那安全控制咋整。先不管，按别人说的，执行iptables命令，把input的udp端口都放行，output和forward也不管。

结果是居然还不行，依然是域名无法解析，发送http请求，就卡在那了。阿里技术客服发来杀手锏：

事儿越整越复杂了。我继续网上找iptables资料，想着原因都知道了，应该好解决。
既然iptables把input的udp端口都放开了，为什么还不行了，难道域名解析还涉及到其他一些TCP端口，或者说我的UDP放行有问题。
而且端口都放开，iptables的安全也没有意义了。比较好的解决方法是放行这个请求相关的连接响应报文。
iptables早就考虑了这一想法。我把如下命令加入到filter中，试过一切OK

#iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

#iptables -A INPUT -m state --state INVALID -j DROP