Где ошибка в iptables?

Question

[Sergei Iamskoi]

На роутере решил прописать кастомный DNS-сервер, поднятый в инете. Все работало. Но на этот DNS через какое-то время начали ломиться разные устройства. Решил через iptables всех заблокировать и разрешить только IP роутера. Но не получается, теперь DNS не работает внутри локальной сети за роутером.
Роутер: 85.1.1.1
DNS-сервер 80.1.1.1

На DNS сервере прописал такие правила:

root@server:~# iptables -S
-P INPUT DROP
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
-N f2b-ssh
-N f2b-sshd
-A INPUT -p tcp -m multiport --dports 22 -j f2b-ssh
-A INPUT -p tcp -m multiport --dports 22 -j f2b-sshd
-A INPUT -s 85.1.1.1/32 -j ACCEPT
-A INPUT -s 127.0.0.1/32 -j ACCEPT
-A INPUT -s 80.1.1.1/32 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A f2b-ssh -j RETURN
-A f2b-sshd -j RETURN
root@server:~#

ssh доступен, а dns сервер не алле :(
Пробовал еще добавить "-A OUTPUT -j ACCEPT" и "-A INPUT -p tcp -m multiport --dports 53 -j ACCEPT" - не помогают. Что не так ? :)

Comments

[Sergei Iamskoi]

hint000, dns-сервер не в локальной сети, а в интернете лежит.
А локальная сеть не работает, из-за того что dns не отдает адреса из-за настроек iptables

Answer 1

[PatapoIIIka]

OUTPUT по умолчанию не запрещен.
Меня смущает эта строка... ДНС сервер разрешает самому себе слать пакеты на INPUT? Чисто в теории, ему могут послать пакет с таким source address. Ответ, конечно, пойдет не туда, но ДНС сервер можно заспамить пакетами с таким соурсом. Поправьте кто-нибудь, если не прав.
P.S. Для дебага лучше поставить Reject. Он, по крайней мере, даст информацию о том, что произошло.
-A INPUT -s 80.1.1.1/32 -j ACCEPT

Comments

[Sergei Iamskoi]

-A INPUT -s 80.1.1.1/32 -j ACCEPT
не дает должного результата, днс не может зарезолвить имена.
Помогает эта команда:
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
Но не знаю, на сколько это верное решение

[PatapoIIIka]

Sergei Iamskoi,
-A INPUT -s 80.1.1.1/32 -j ACCEPT ЭТО НЕ РЕШЕНИЕ, это дыра в системе
@traitori4 - пиши в телеграм, постараюсь помочь.
Возможно, проблема не в iptables