iptables防火墙规则导致端口不通的案例分析

• 问题现象：

一台服务器的8080端口访问不通，但其他端口正常，例如ssh的22端口，ping也正常。

从其他机器上进行telnet连接8080端口测试，显示是下边这个结果。

[root@iZ25a9b7bpcZ ~]# telnet xx.xx.xx.xx 8080
Trying xx.xx.xx.xx...
telnet: connect to address xx.xx.xx.xx: No route to host

从telnet测试的结果，仔细看其实会发现有问题，这里提示了错误“No route to host”。

正常进行telnet端口测试，如果端口不通，返回是这样的情况，会提示“Connection refused”

[root@iZ25a9b7bpcZ ~]# telnet xx.xx.xx.xx 9999
Trying xx.xx.xx.xx...
telnet: connect to address xx.xx.xx.xx: Connection refused

而访问8080端口会提示“No route to host”，没有路由能连接到目标地址。但实际ping是通的，路由肯定没有问题，这个异常的提示就是最大疑点。

• 排查过程：
  

首先想到是进行抓包，具体看下网络连接情况。

在客户端机器上，进行telnet连接测试，然后用 tcpdump 抓取访问目标ip 120.xx.xx.xx 的数据包。

[root@iZ25a9b7bpcZ ~]# tcpdump -i any -s 0 host 120.xx.xx.xx
19:58:07.985224 IP 101.200.xx.xx.33631 > 120.xx.xx.xx.webcache: Flags [S], seq 783998905, win 14600, options [mss 1460,sackOK,TS val 624230653 ecr 0,nop,wscale 6], length 0
19:58:08.018285 IP 120.xx.xx.xx > 101.200.xx.xx: ICMP host 120.xx.xx.xx unreachable - admin prohibited, length 68

从抓包的结果看，客户端访问目标服务器的8080端口（抓包里端口显示webcache），但目标服务器给返回了一个ICMP协议类型的，提示目标地址不可达 。host 120.xx.xx.xx unreachable ，这里明显不正常。

同时也在服务器端进行了抓包，抓取客户端ip 101.200.xx.xx 的连接。

root@iZ94jj4osq9Z:/etc/apache2# tcpdump -i any -s 0 host 101.200.xx.xx
19:57:39.974605 IP 101.200.xx.xx.33623 > 120.xx.xx.xx.http-alt: Flags [S], seq 1047961079, win 14600, options [mss 1460,sackOK,TS val 624202626 ecr 0,nop,wscale 6], length 0
19:57:39.974679 IP 120.xx.xx.xx > 101.200.xx.xx: ICMP host 120.24.183.92 unreachable - admin prohibited, length 68

服务器端也收到了客户端访问8080端口的请求，但没有正常响应客户端发的tcp三次握手的syn包，而是返回了一个异常的ICMP协议数据包，告诉客户端目标不可达。

这里也就可以明白，为什么telnet端口测试，会提示“No route to host”

在Windows上用wireshark进行抓包查看，会看到服务器返回的错误信息“Host administratively prohibited”

服务器返回的ICMP协议的数据包中，是包含了客户端请求的数据包信息。

• 确定问题：
  

通过抓包的信息，基本分析清楚了问题。出现连接异常，肯定是服务器上有特殊限制，防火墙之类的。

在目标服务器上查看 iptables防火墙规则。

root@iZ:~# iptables -nL
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0
ACCEPT all -- 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:22
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:80
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 state NEW tcp dpt:443
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 100/sec burst 100
ACCEPT icmp -- 0.0.0.0/0 0.0.0.0/0 limit: avg 1/sec burst 10
syn-flood tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02
REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080

其中有

REJECT all -- 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited

这条是拒绝所有连接的规则，而允许8080端口访问的规则，是在这条规则之后，优先级没有拒绝的高导致8080端口连接不上。

拒绝连接的规则有 reject-with icmp-host-prohibited 这个选项，所以被拒绝的连接会收到一个icmp，返回目标主机不可达，抓包里看到返回的icmp协议，就是这个拒绝的规则导致。

最后解决方式，关闭iptables防火墙，或者把允许8080端口访问的规则加到前边。