Почему перестает работать DNS?

Question

[Drno]

Доброго дня. Имеется сервер на дебиан. В нем развернут qemu-kvm.
Там развернут микротк CHR.

После применения вот этих правил в IPTABLES, с микротика (и все что за ним, с любых машин на KVM) перестает работать DNS.
Шлюз и сеть работают, по IP тоже заходит, но не резолвит DNS...

Микротик работает как VPN сервер, ну и еще переадресует неск портов под нужды всякие

spoiler

sysctl -w net.netfilter.nf_conntrack_helper=1
iptables -I FORWARD -o virbr0 -d 192.168.122.2 -j ACCEPT
modprobe ip_gre
modprobe ip_conntrack_pptp
modprobe ip_conntrack
modprobe ip_nat_pptp
modprobe nf_conntrack_pptp
modprobe nf_conntrack
iptables -A FORWARD -p gre -j ACCEPT
iptables -A FORWARD -i enp2s0 -p tcp --dport 1723 -j ACCEPT
iptables -t nat -I PREROUTING -p tcp --dport 1723 -j DNAT --to 192.168.122.2:1723
iptables -t nat -I PREROUTING -p gre -j DNAT --to 192.168.122.2
iptables -t nat -I PREROUTING -p tcp --dport 80 -j DNAT --to 192.168.122.2:80
iptables -t nat -I PREROUTING -p tcp --dport 443 -j DNAT --to 192.168.122.2:443
iptables -t nat -I PREROUTING -p tcp --dport 10052 -j DNAT --to 192.168.122.2:10052
iptables -t nat -I PREROUTING -p tcp --dport 8081 -j DNAT --to 192.168.122.2:8081
iptables -t nat -I PREROUTING -p tcp --dport 60009 -j DNAT --to 192.168.122.2:60009
iptables -t nat -I PREROUTING -p tcp --dport 59998 -j DNAT --to 192.168.122.2:59998
iptables -t nat -I PREROUTING -p tcp --dport 16001 -j DNAT --to 192.168.122.2:16001
iptables -t nat -I PREROUTING -p tcp --dport 10000 -j DNAT --to 192.168.122.2:10000
iptables -t nat -I PREROUTING -p tcp --dport 10001 -j DNAT --to 192.168.122.2:10001
iptables -t nat -I PREROUTING -p tcp --dport 38102 -j DNAT --to 192.168.122.2:38102
iptables -t nat -I PREROUTING -p tcp --dport 33888 -j DNAT --to 192.168.122.2:33888
iptables -t nat -I PREROUTING -p tcp --dport 33889 -j DNAT --to 192.168.122.2:33889
iptables -t nat -I PREROUTING -p tcp --dport 33898 -j DNAT --to 192.168.122.2:33898
iptables -t nat -I PREROUTING -p tcp --dport 33897 -j DNAT --to 192.168.122.2:33897
iptables -t nat -I PREROUTING -p tcp --dport 33891 -j DNAT --to 192.168.122.2:33891
iptables -t nat -I PREROUTING -p tcp --dport 9080 -j DNAT --to 192.168.122.2:9080
iptables -t nat -I PREROUTING -p tcp --dport 33895 -j DNAT --to 192.168.122.2:33895
iptables -t nat -I PREROUTING -p tcp --dport 33896 -j DNAT --to 192.168.122.2:33896
iptables -t nat -I PREROUTING -p tcp --dport 33898 -j DNAT --to 192.168.122.2:33898
iptables -t nat -I PREROUTING -p tcp --dport 33899 -j DNAT --to 192.168.122.2:33899
iptables -t nat -I PREROUTING -p udp --dport 1701 -j DNAT --to 192.168.122.2:1701
iptables -t nat -I PREROUTING -p udp --dport 500 -j DNAT --to 192.168.122.2:500
iptables -t nat -I PREROUTING -p udp --dport 4500 -j DNAT --to 192.168.122.2:4500
iptables -A INPUT -s 192.168.122.2 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 188.242.*.* -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 188.242.*.* -p tcp --dport 5999 -j ACCEPT
iptables -A INPUT -s 188.242.*.* -p udp --dport 5999 -j ACCEPT
iptables -A INPUT -i enp2s0 -p tcp --dport 111 -j DROP
iptables -A INPUT -i enp2s0 -p udp --dport 111 -j DROP
iptables -A INPUT -i enp2s0 -p udp --dport 53 -j DROP
iptables -A INPUT -i enp2s0 -p tcp --dport 53 -j DROP
iptables -A INPUT -i enp2s0 -p tcp --dport 5353 -j DROP
iptables -A INPUT -i enp2s0 -p udp --dport 5353 -j DROP
iptables -A INPUT -i enp2s0 -p tcp --dport 5999 -j DROP
iptables -A INPUT -i enp2s0 -p udp --dport 5999 -j DROP
iptables -A INPUT -p tcp --dport 22 -j DROP

Comments

[shurshur]

Где этот DNS-то находится?

iptables -A INPUT -i enp2s0 -p udp --dport 53 -j DROP
iptables -A INPUT -i enp2s0 -p tcp --dport 53 -j DROP

Это режет DNS-пакеты из интерфейса enp2s0

iptables -t nat -I PREROUTING -p gre -j DNAT --to 192.168.122.2

Это заменяет destination во всех транзитных пакетах gre, в обе стороны. То есть ответные пакеты от 192.168.122.2 тоже пойдут в 192.168.122.2. Надо как-то скорректировать (про source или по интерфейсу).

-I PREROUTING приведёт к тому, что правила будут добавляться не в конец цепочки PREROUTING, а в начало, в итоге правила будут идти задом наперёд.

В общем, тут есть что улучшать.

[Drno]

shurshur, я не спорю насчет улучшать
правило DROP сделаны чтобы из ВНЕ не стучали на этот порт, а то ломятся постоянно)

DNS - я имел ввиду обычные, публичные... гугловские к примеру

WAN сервера - enp2s0 , WAN на микротике - 192.168.122.2

При этом правиле iptables -t nat -I PREROUTING -p gre -j DNAT --to 192.168.122.2
на микротик pptp клиенты подключаются и я к ним тоже...

[shurshur]

Drno, если локально DNS не запущен - то пускай ломятся на 53 порт на здоровье, всё равно DNS там нет. После того, как всё важное будет починено, можно уже пытаться резать лишнее, отслеживая, чтобы важное продолжило работать.

По умолчанию в iptables действует policy ACCEPT во всех цепочках, поэтому явно прописывать ACCEPT в FORWARD нет смысла - там же нигде не делается REJECT или DROP. Но это надо убедиться, что policy не переопределено (iptables -L).

Также советую добавлять ключи, которые показывают число пакетов и число байт, которые сработали на нужном правиле.

iptables -L -n -v
iptables -t nat -L -n -v

Очень может помочь в деле отладки.

[shurshur]

Drno, да, кстати, этот скрипт всегда дописывает iptables, не очищая их. Может, там осталось что-то от предыдущих запусков или от системных правил по умолчанию?

[Drno]

shurshur, ну собственно убрал эти 2 правила, все заработало... вопрос как закрыть вход на этот порт правильно, не порушив ДНС)

iptables -A INPUT -i enp2s0 -p udp --dport 53 -j DROP
iptables -A INPUT -i enp2s0 -p tcp --dport 53 -j DROP

[shurshur]

Drno, значит у исходящих DNS-запросов local_port=53. Можно, например, использовать модуль state:

iptables -A INPUT -i enp2s0 -m state --state NEW,INVALID -p tcp --dport 53 -j DROP
iptables -A INPUT -i enp2s0 -m state --state NEW,INVALID -p udp --dport 53 -j DROP

Answer 1

[AUser0]

На 192.168.122.2 видимо нет DNS-а? Тогда после скрипта сделайте команды:

iptables -I FORWARD -i enp2s0 -s 192.168.122.2,188.242.0.0/16 -p udp --dport 53 -j ACCEPT
iptables -I FORWARD -i enp2s0 -s 192.168.122.2,188.242.0.0/16 -p tcp --dport 53 -j ACCEPT

Если сработает и нужно вставить эти команды в скрипт - поменяйте оба "-I FORWARD" на "-A FORWARD".

P.S. Или удалите из скрипта строки с "--dport 53".

Comments

[Drno]

спасибо, проверю
Да, там нет DNSa. мне надо чтоб внешние сервера были доступны, по типу гугловского ДНС

Дроп правило было сделано, т.к. шло куча пакетов на этот порт, я вкурсе что он за ДНС отвечает, просто мне казалось я его только на вход закрыл

upd - правила не помогли)

[Drno]

AUser0, ну собственно убрал эти 2 правила, все заработало... вопрос как закрыть вход на этот порт правильно, не порушив ДНС)

iptables -A INPUT -i enp2s0 -p udp --dport 53 -j DROP
iptables -A INPUT -i enp2s0 -p tcp --dport 53 -j DROP

[AUser0]

Дропайте все пакеты не из ваших подсеток:

iptables -A INPUT -i enp2s0 ! -s 192.168.122.2,188.242.0.0/16 -p udp --dport 53 -j DROP
iptables -A INPUT -i enp2s0 ! -s 192.168.122.2,188.242.0.0/16 -p tcp --dport 53 -j DROP