iptables防火墙规则导致端口不通的案例分析

简介: iptables防火墙规则导致服务器的8080端口访问不通,telnet连接测试提示 No route to host

iptables防火墙规则导致端口不通的案例分析


  • 问题现象:

一台服务器的8080端口访问不通,但其他端口正常,例如ssh的22端口,ping也正常。

从其他机器上进行telnet连接8080端口测试,显示是下边这个结果。


[root@iZ25a9b7bpcZ ~]# telnet xx.xx.xx.xx 8080
Trying xx.xx.xx.xx...
telnet: connect to address xx.xx.xx.xx: No route to host

从telnet测试的结果,仔细看其实会发现有问题,这里提示了错误“No route to host”。

正常进行telnet端口测试,如果端口不通,返回是这样的情况,会提示“Connection refused”


[root@iZ25a9b7bpcZ ~]# telnet xx.xx.xx.xx 9999
Trying xx.xx.xx.xx...
telnet: connect to address xx.xx.xx.xx: Connection refused

而访问8080端口会提示“No route to host”,没有路由能连接到目标地址。但实际ping是通的,路由肯定没有问题,这个异常的提示就是最大疑点。


  • 排查过程:

首先想到是进行抓包,具体看下网络连接情况。

在客户端机器上,进行telnet连接测试,然后用 tcpdump 抓取访问目标ip 120.xx.xx.xx 的数据包。


[root@iZ25a9b7bpcZ ~]# tcpdump -i any -s 0 host 120.xx.xx.xx
19:58:07.985224 IP 101.200.xx.xx.33631 > 120.xx.xx.xx.webcache: Flags [S], seq 783998905, win 14600, options [mss 1460,sackOK,TS val 624230653 ecr 0,nop,wscale 6], length 0
19:58:08.018285 IP 120.xx.xx.xx > 101.200.xx.xx: ICMP host 120.xx.xx.xx unreachable - admin prohibited, length 68

从抓包的结果看,客户端访问目标服务器的8080端口(抓包里端口显示webcache),但目标服务器给返回了一个ICMP协议类型的,提示目标地址不可达 。host 120.xx.xx.xx unreachable ,这里明显不正常。

同时也在服务器端进行了抓包,抓取客户端ip 101.200.xx.xx 的连接。


root@iZ94jj4osq9Z:/etc/apache2# tcpdump -i any -s 0 host 101.200.xx.xx
19:57:39.974605 IP 101.200.xx.xx.33623 > 120.xx.xx.xx.http-alt: Flags [S], seq 1047961079, win 14600, options [mss 1460,sackOK,TS val 624202626 ecr 0,nop,wscale 6], length 0
19:57:39.974679 IP 120.xx.xx.xx > 101.200.xx.xx: ICMP host 120.24.183.92 unreachable - admin prohibited, length 68

服务器端也收到了客户端访问8080端口的请求,但没有正常响应客户端发的tcp三次握手的syn包,而是返回了一个异常的ICMP协议数据包,告诉客户端目标不可达。

这里也就可以明白,为什么telnet端口测试,会提示“No route to host”

在Windows上用wireshark进行抓包查看,会看到服务器返回的错误信息“Host administratively prohibited”

服务器返回的ICMP协议的数据包中,是包含了客户端请求的数据包信息。


34460db922ce4ffa87ac28c006df5ecb62a98abb


  • 确定问题:

通过抓包的信息,基本分析清楚了问题。出现连接异常,肯定是服务器上有特殊限制,防火墙之类的。

在目标服务器上查看 iptables防火墙规则。


root@iZ:~# iptables -nL
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:443
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 100/sec burst 100
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 1/sec burst 10
syn-flood tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080

其中有


REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

这条是拒绝所有连接的规则,而允许8080端口访问的规则,是在这条规则之后,优先级没有拒绝的高导致8080端口连接不上。

拒绝连接的规则有 reject-with icmp-host-prohibited 这个选项,所以被拒绝的连接会收到一个icmp,返回目标主机不可达,抓包里看到返回的icmp协议,就是这个拒绝的规则导致。


最后解决方式,关闭iptables防火墙,或者把允许8080端口访问的规则加到前边。

目录
相关文章
|
4月前
|
安全 Linux 网络安全
百度搜索:蓝易云【linux iptables安全技术与防火墙】
请注意,iptables的具体使用方法和配置选项可能会有所不同,取决于Linux发行版和版本。管理员应该参考相关文档和资源,以了解适用于其特定环境的最佳实践和配置方法。
461 0
百度搜索:蓝易云【linux iptables安全技术与防火墙】
|
4月前
|
网络协议 Linux 网络安全
小白也能看懂的 iptables 防火墙
iptables是Linux中功能最为强大的防火墙软件之一 是一个在 Linux 系统上常用的防火墙工具,用于配置和管理网络数据包过滤规则。它可以通过定义规则集来控制进出系统的网络流量,实现网络安全策略
235 5
|
4月前
|
Linux
centos使用iptables实现nat端口转发
centos使用iptables实现nat端口转发
156 4
|
1月前
|
监控 网络协议 Linux
防火墙规则动态管理器 - firewalld
【1月更文挑战第11天】
38 0
|
1月前
|
Linux 网络安全
Linux - firewall-cmd 命令添加端口规则不生效排查
Linux - firewall-cmd 命令添加端口规则不生效排查
75 0
|
2月前
|
存储 网络协议 Linux
Linux加强篇008-使用Iptables与Firewalld防火墙
山重水复疑无路,柳暗花明又一村
260 0
Linux加强篇008-使用Iptables与Firewalld防火墙
|
2月前
|
Linux 网络安全
CentOS7下操作iptables防火墙和firewalld防火墙
CentOS7下操作iptables防火墙和firewalld防火墙
60 3
|
3月前
|
网络协议 网络安全 开发工具
iptables和防火墙1
iptables和防火墙1
24 0
|
3月前
|
Ubuntu Linux 网络安全
linux防火墙开放端口
linux防火墙开放端口
219 0
|
3月前
|
监控 安全 网络安全
分析web应用防火墙与防火墙的功能与用途
分析web应用防火墙与防火墙的功能与用途