iptables блокирует DNS-сервер

Question

Я пытаюсь настроить свой сервер для разрешения входящих DNS-запросов. Сервер по умолчанию, установленный хостинговой компанией, разрешает трафик на портах 443, 80 и 22.

Я изменил файл iptables, чтобы попытаться разрешить запросы на порт 53, но я не получаю никакого ответа от BIND. Отключение брандмауэра позволяет просить DNS-запрос, поэтому я предлагаю, чтобы сервер имен работал правильно. Настройка - CentOS 5.5.

Это файл iptables; Я был бы признателен, если бы кто-нибудь мог сказать мне, что мне здесь не хватает, чтобы это работало.

Заранее спасибо.

==================

# Firewall configuration written by system-config-securitylevel 
# Manual customization of this file is not recommended. 
*filter 
:FORWARD ACCEPT [0:0] 
:INPUT ACCEPT [0:0] 
:RH-Firewall-1-INPUT - [0:0] 
:OUTPUT ACCEPT [0:0] 
-A INPUT -j RH-Firewall-1-INPUT 
-A FORWARD -j RH-Firewall-1-INPUT 
-A RH-Firewall-1-INPUT -i lo -j ACCEPT 
-A RH-Firewall-1-INPUT -p icmp --icmp-type any -j ACCEPT 
-A RH-Firewall-1-INPUT -p 50 -j ACCEPT 
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -m udp --dport 631 -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 631 -j ACCEPT 
-A RH-Firewall-1-INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 10000 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 1024:65535 --sport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -m udp --dport 1024:65535 --sport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 22 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 80 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -p tcp -m state -m tcp --dport 443 --state NEW -j ACCEPT 
-A RH-Firewall-1-INPUT -j REJECT --reject-with icmp-host-prohibited 
COMMIT 
# Generated by webmin 
*mangle 
:FORWARD ACCEPT [0:0] 
:INPUT ACCEPT [0:0] 
:OUTPUT ACCEPT [0:0] 
:PREROUTING ACCEPT [0:0] 
:POSTROUTING ACCEPT [0:0] 
COMMIT 
# Completed 
# Generated by webmin 
*nat 
:OUTPUT ACCEPT [0:0] 
:PREROUTING ACCEPT [0:0] 
:POSTROUTING ACCEPT [0:0] 
COMMIT 
# Completed 

Answer 1

Эта строка из правил является совершенно неправильно:

-A RH-Firewall-1-INPUT -p tcp -m tcp --dport 1024:65535 --sport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp -m udp --dport 1024:65535 --sport 53 -j ACCEPT 

Вы хотите сказать, что: разрешить трафик от удаленного порта 53 для локальных портов 1024 - 65535.
Я считаю, что DNS прослушивает порт 53. Попробуйте это вместо того, чтобы (разрешить все TCP/UDP трафика назначения порт 53):

-A RH-Firewall-1-INPUT -p tcp --dport 53 -j ACCEPT 
-A RH-Firewall-1-INPUT -p udp --dport 53 -j ACCEPT 

Эти линии не будут делать ничего: Следующие строки позволяет трафик с номером протокола 50 (ESP) и 51 (AH) (источник: IANA Protocol Numbers)

-A RH-Firewall-1-INPUT -p 50 -j ACCEPT 
-A RH-Firewall-1-INPUT -p 51 -j ACCEPT