iptables 引起 ssh 登陆变慢

今天修改 iptables 设定，从严设计，结果启用新规则后发现 ssh 局域网登陆变慢；外网登陆到没问题。

(原文链接 http://ddbiz.com/?p=211)

修改

/etc/ssh/sshd_conf

文件，

#UseDNS yes

修改为

UseDNS no

保存后重起sshd,

service sshd restart

问题解决。

 

不过同样原因引起的 vsftp 登陆变慢问题就没有解决掉。vsftp 的配置文件似乎没有此选项

 

 

特别更正，启用iptables 后连接变慢的真正原因找到了。

修改后的 iptables 严格配置文件如下:

# Firewall configuration written by system-config-securitylevel
# Manual customization of this file is not recommended.
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [0:0]
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT

-A INPUT -s 127.0.0.1 -d 127.0.0.1 -j ACCEPT
-A INPUT -s 202.68.104.15 -d 202.68.104.15 -j ACCEPT

-A INPUT -p icmp --icmp-type any -j ACCEPT

-A INPUT -m iprange --src-range 202.68.104.5-202.68.104.8 -d 202.68.104.15 -j ACCEPT

 

COMMIT

 

这个配置中，缺少了很重要的一项:

-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

该配置表明让 iptables 可以保持状态，因为 iptables 的默认 INPUT 是 drop 的，当tcp 连接时，如果没有上面着一条，则服务器 202.68.104.15 虽然在 OUTPUT 的默认是 ACCEPT 的情况下，但是因为 tcp 的 ack 被默认 DROP 掉了，发出的包都没有回应，从而造成超时。就是这个原因造成了所有连接都变慢。

(原文链接 http://ddbiz.com/?p=211)

Thanks God