centos 无法 dns 解析

[elric8]

买了一台便宜的 vps 由于比较老只能装 centos6 装了 ssr 发现无法连接 想起来 centos 有防火墙 去看了下我的 ss 端口开了 tcp 和 udp 全开 无奈之下把防火墙关了 ok ， ss 可以连接 随后想起来 ss 有错误日志，看了下 8.8.8.8 ： 53 time out 心想把 53 端口开了没问题了吧 也不行 哪位大大帮我看下到底哪里出错了...

Generated by iptables-save v1.4.7 on Thu Oct 6 09:32:03 2016

*filter :INPUT ACCEPT [0:0] :FORWARD ACCEPT [0:0] :OUTPUT ACCEPT [4:512] -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT -A INPUT -p icmp -j ACCEPT -A INPUT -i lo -j ACCEPT -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT -A INPUT -j REJECT --reject-with icmp-host-prohibited -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT -A INPUT -p udp -m udp --dport 443 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT -A FORWARD -j REJECT --reject-with icmp-host-prohibited -A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT -A OUTPUT -p udp -m udp --dport 443 -j ACCEPT -A OUTPUT -p udp -m udp --dport 53 -j ACCEPT COMMIT

Completed on Thu Oct 6 09:32:03 2016

[elric8]

# Generated by iptables-save v1.4.7 on Thu Oct 6 09:32:03 2016
*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4:512]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p udp -m udp --dport 443 -j ACCEPT
-A INPUT -p udp -m udp --dport 53 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
-A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 443 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
COMMIT
# Completed on Thu Oct 6 09:32:03 2016

[shiji]

这句：-A INPUT -j REJECT --reject-with icmp-host-prohibited
写的有点早，后面三个 INPUT 的 ACCEPT 直接作废了，
把这个挪到最后一个-A INPUT 后面

-A INPUT -p udp -m udp --dport 53 -j ACCEPT 这句貌似不需要，你本机没有 DNS 服务器吧？

-A OUTPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 443 -j ACCEPT
-A OUTPUT -p udp -m udp --dport 53 -j ACCEPT
这三句（所有的-A OUTPUT ）完全删掉，你 OUTPUT 要用的端口很多，不必过滤。