Какие порты открыть, чтобы работало apt?

Question

[Евгений Обыкновенный]

В Debian 11 при выполнении команды apt update сообщается:
Temporary failure resolving 'mirror.hoztnode.net'

В iptables такие настройки:

-P INPUT DROP
-P FORWARD DROP
-P OUTPUT ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT

Если установить -P INPUT ACCEPT, то apt нормально работает.

Comments

[jcmvbkbc]

В iptables такие настройки:

Офигенные правила.
Можно, конечно, порекомендовать добавить в INPUT разрешения для tcp и upd на 53 порт, но зачем?

[Евгений Обыкновенный]

jcmvbkbc, не помогает открытие 53 порта для tcp и udp в INPUT.

[jcmvbkbc]

Евгений Обыкновенный, для цепочки input это будет sport а не dport, если что.

[Евгений Обыкновенный]

jcmvbkbc, т.е. предлагаете открыть все порты для всех запросов, приходящих с порта 53? Злоумышленник не может посылать вредные запросы с порта 53?

[jcmvbkbc]

т.е. предлагаете открыть все порты для всех запросов, приходящих с порта 53? Злоумышленник не может посылать вредные запросы с порта 53?

Евгений Обыкновенный, я уже написал: "но зачем?". Предлагаю выдернуть сетевой шнур для надёжности, apt вполне может работать с пакетами принесёнными на флэшке.

Answer 1

[Dmitry]

вот это добавить в INPUT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

объясняю - ответы от удаленного сервера должны возвращаться, а ваш общий DROP на INPUT этому препятствует.
правило выше разрешает принимать пакеты УЖЕ установленных соединений - то есть тех, которые вы инициализировали когда отправили свой запрос.

Comments

[Dmitry]

TheAndrey7, да, обычно первым. Но я предполагаю , что у автора вопроса (как он нам показал) вообще пустой INPUT

[Dmitry]

добавлю, те пару разрешающий что он сделал - не помещают конечно. И так должно работать ;)

[Евгений Обыкновенный]

Почему-то недостаточно только этого правила
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Заработало только вместе с
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
Почему?

Answer 2

[AUser0]

Проверьте команду dig ya.ru
Если произошла ошибка (нет нормального IP) - ваш компьютер не имеет доступа к DNS-серверу, на который настроен. Соответственно решайте проблему DNS-сервера (он указан в /etc/resolv.conf в строке nameserver ........).