如何在iptables中允许域名？

Question

我有一个linux服务器因某些奇怪的原因而得到时间偏移

我设置了cron作业来运行并使用以下命令更新时间

/usr/sbin/ntpdate pool.ntp.org

问题是命令无法运行，因为我有防火墙（iptables）

我一直使用IP来允许网络中的流量：

iptables -A INPUT -p tcp -m tcp -i eth0 -s 11.11.11.11 --dport 5060 -j ACCEPT

我想知道在这种情况下如何使用域名pool.ntp.org

也许有人可以告诉我一个更好的方法来保持时钟同步

请咨询

Answer 1

通常，iptables设置为将远程主机发起的传入TCP和UDP连接限制为服务器，除非需要。但是，允许服务器向远程主机发起的所有传出TCP和UDP连接，并保留状态以便允许回复，如下所示：

# Allow TCP/UDP connections out. Keep state so conns out are allowed back in.
iptables -A INPUT  -p tcp -m state --state ESTABLISHED     -j ACCEPT
iptables -A OUTPUT -p tcp -m state --state NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT  -p udp -m state --state ESTABLISHED     -j ACCEPT
iptables -A OUTPUT -p udp -m state --state NEW,ESTABLISHED -j ACCEPT

如果您的iptables设置如此，它将允许ntpdate与pool.ntp.org建立传出连接，并且它将允许回复。并且，您仍然可以阻止到服务器启动的传入连接其他主人。