请教一个关于 iptables 的问题

[xiaoz]

假如 ss 端口监听为 9000 ， iptables 放行 9000 后， telnet 测试 9000 正常，但是 ss 连接超时，那么 service iptables stop 关闭后， ss 连接正常，应该就是 iptables 规则导致，但是又无法找到具体原因。完整规则如下：

*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
:syn-flood - [0:0]
-A INPUT -p udp -m state --state NEW -m udp --dport 9000:9999 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 9000:9999 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 21 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 20000:50000 -j ACCEPT
-A INPUT -p udp -m state --state NEW -m udp --dport 20000:50000 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 80 -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 443 -j ACCEPT
-A INPUT -p icmp -m limit --limit 1/sec --limit-burst 10 -j ACCEPT
-A INPUT -f -m limit --limit 100/sec --limit-burst 100 -j ACCEPT
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -j syn-flood
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A syn-flood -p tcp -m limit --limit 3/sec --limit-burst 6 -j RETURN
-A syn-flood -j REJECT --reject-with icmp-port-unreachable
COMMIT

---

再次说明一下，端口 telnet 是正常的，但是 ss 无法使用，关闭 iptables 后正常。

[julyclyde]

@iCyMind -m 肯定没错的。只是被-p 给隐含了而已
-m tcp 是 match tcp

[xiaoz]

@iCyMind 但是我这样写 telnet 端口的确是通的

[iCyMind]

@xiaoz 如果找到问题所在, 请 @ 我.
我也想知道原因在哪

@julyclyde 嗯, 你是对的. 刚试了下, 就算是执行
iptables -A INPUT -p tcp --dport 9000 -j ACCEPT
iptables -S 出来的结果都是
-A INPUT -p tcp -m tcp --dport 9000 -j ACCEPT

[xiaoz]

@iCyMind 原来是规则顺序问题导致，好坑呀，按照 7 楼的办法修改了下规则顺序，然后启动 iptables ，居然可以了。

[xiaoz]

@kuretru 非常感谢，按照您说的，修改了下顺序居然可以了。是什么原因呢？

[iCyMind]

@xiaoz 顺序应该不是问题所在, 我把
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
改到了最后面, 一样能连上.

你是不是用了 docker?

[xiaoz]

@iCyMind 不对，刚刚可能幻觉了，试了下还是不行，应该不是顺序导致。我是 docker ，就是 centos 部署的 ss

[xiaoz]

@xiaoz 不是 docker

[iCyMind]

@xiaoz 这些规则不行?
iptables -F
iptables -X
iptables -Z
iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -p tcp --dport 9000 -j ACCEPT
iptables -A INPUT -p udp --dport 9000 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT