前所未有的古怪问题，用linux做网关导致有部分网页访问不了……

abcbuzhiming

环境：
adsl拨号上网，一台双网卡机器安装gentoo linux，防火墙为shorewall（调用iptables），由linux拨号出去，内部网络有50台机器windows，全部通过linux上网，没有设置什么特别的策略，基本就是设定成一个nat了，局域网内的windows全部制定好IP和DNS服务器，NAT自身不提供任何域名解析和dhcp服务，现在出现了以下的古怪问题：

大部分站点，内部网络的机器都能正常访问，但是有个别站点（非小站，都是大站），无法访问，表现情况如下——输入地址后，浏览器状态栏闪过正在连接站点IP地址，然后到“已经找到网站，等待回应”处卡住了，浏览器即不出现提示，而状态显示没有数据流入，反正就整个一个空白版面卡在那里，没有反应了……就这样一个古怪情况

目前统计的无法访问的站点有淘宝，天涯，sina，pchome，cnbeta等，全部是一样的症状

我试图查找原因，于是做了以下尝试，首先，NAT机和客户机ping DNS，外部网络，都是通的，ping那些不能访问的站点的域名，能解析出IP，也能ping通，在客户机上用tracert命令跟踪不能访问的站点的域名和IP，也是通的,如下所示意

1. 
   
2. C:\Documents and Settings\xwuser>tracert www.sina.com.cn
   
3. 
   
4. Tracing route to jupiter.sina.com.cn [61.172.201.194]
   
5. over a maximum of 30 hops:
   
6. 
   
7.   1    <1 ms    <1 ms    <1 ms  192.168.0.1
   
8.   2     *        *        *     Request timed out.
   
9.   3    25 ms    20 ms    24 ms  58.49.2.81
   
10.   4    62 ms    52 ms    48 ms  221.232.254.129
    
11.   5    33 ms    36 ms    41 ms  221.232.254.117
    
12.   6   223 ms   212 ms   135 ms  61.152.80.149
    
13.   7   290 ms   408 ms   131 ms  61.152.87.122
    
14.   8    64 ms    75 ms    82 ms  222.72.243.250
    
15.   9   213 ms   264 ms   370 ms  61.172.201.194
    
16. 
    
17. Trace complete.
    

复制代码

PS：第二步那个 Request timed out，在追踪可以访问的站点时也出现这情况

然后我又做了两件事情，我把adsl从linux下拆下来，随便插在一台windows客户机上拨号上网，上述不能访问的地址，都可以正常访问了，随后，我又把原来那个dlink 604+的路由器拿来（本来这个linux就是要取代这个路由器的），按照以前做的那个接好，windows客户机都不改变任何设置，那些不能访问的网站都能访问。（所以我基本能确定windows客户机的DNS设置没有任何问题）

随后我想到了telent和用IP访问，结果让我发现了一件奇怪的事情，
在windows客户端下telent任何一个网站的80口，无论是能不能访问的站点，telent上去以后出现一个黑色版面，不显示任何东西，过一会又跳回到命令行起始位置。
而如果用IP去访问站点的话，则出现，无论什么站点，都访问不了，提示如下

1. 
   
2. 错误
   
3. 您所请求的网址（URL）无法获取
   
4. 
   
5. --------------------------------------------------------------------------------
   
6. 
   
7. 当尝试读取以下网址（URL）时： http://220.181.28.206/
   
8. 
   
9. 发生了下列的错误：
   
10. 
    
11. Access Denied.
    
12. 拒绝访问
    
13. Access control configuration prevents your request from being allowed at this time. Please contact your service provider if you feel this is incorrect.
    
14. 当前的存取控制设定禁止您的请求被接受，如果您觉得这是错误的，请与您网路服务的提供者联系。
    
15. 
    
16. 
    
17. 本缓存服务器管理员：webmaster
    
18. 
    
19. 
    
20. 
    
21. --------------------------------------------------------------------------------
    
22. 
    
23. Generated Thu, 16 Aug 2007 04:50:33 GMT by www.163.com (cache/2.001+logs)
    

复制代码

如同上面这样的情况。

这到底是怎么回事，我就想不明白，请高手指点这为何有的网站能访问，有的网站不能访问的古怪问题……

另外附上我用iptables -L -n命令看到的shorewall调用的iptables策略

1. 
   
2. Chain INPUT (policy DROP)
   
3. target     prot opt source               destination
   
4. LOG        all  --  0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 7 prefix `BANDWIDTH_IN:'
   
5. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
   
6. ppp0_in    all  --  0.0.0.0/0            0.0.0.0/0
   
7. eth0_in    all  --  0.0.0.0/0            0.0.0.0/0
   
8. Reject     all  --  0.0.0.0/0            0.0.0.0/0
   
9. reject     all  --  0.0.0.0/0            0.0.0.0/0
   
10. 
    
11. Chain FORWARD (policy DROP)
    
12. target     prot opt source               destination
    
13. LOG        all  --  0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 7 prefix `BANDWIDTH_OUT:'
    
14. LOG        all  --  0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 7 prefix `BANDWIDTH_IN:'
    
15. ppp0_fwd   all  --  0.0.0.0/0            0.0.0.0/0
    
16. eth0_fwd   all  --  0.0.0.0/0            0.0.0.0/0
    
17. Reject     all  --  0.0.0.0/0            0.0.0.0/0
    
18. reject     all  --  0.0.0.0/0            0.0.0.0/0
    
19. 
    
20. Chain OUTPUT (policy DROP)
    
21. target     prot opt source               destination
    
22. LOG        all  --  0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 7 prefix `BANDWIDTH_OUT:'
    
23. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
    
24. fw2all     all  --  0.0.0.0/0            0.0.0.0/0           policy match dir out pol none
    
25. fw2lan     all  --  0.0.0.0/0            0.0.0.0/0           policy match dir out pol none
    
26. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
    
27. 
    
28. Chain Drop (1 references)
    
29. target     prot opt source               destination
    
30. reject     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:113
    
31. dropBcast  all  --  0.0.0.0/0            0.0.0.0/0
    
32. ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 3 code 4
    
33. ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 11
    
34. dropInvalid  all  --  0.0.0.0/0            0.0.0.0/0
    
35. DROP       udp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 135,445
    
36. DROP       udp  --  0.0.0.0/0            0.0.0.0/0           udp dpts:137:139
    
37. DROP       udp  --  0.0.0.0/0            0.0.0.0/0           udp spt:137 dpts:1024:65535
    
38. DROP       tcp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 135,139,445
    
39. DROP       udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:1900
    
40. dropNotSyn  tcp  --  0.0.0.0/0            0.0.0.0/0
    
41. DROP       udp  --  0.0.0.0/0            0.0.0.0/0           udp spt:53
    
42. 
    
43. Chain Reject (3 references)
    
44. target     prot opt source               destination
    
45. reject     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:113
    
46. dropBcast  all  --  0.0.0.0/0            0.0.0.0/0
    
47. ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 3 code 4
    
48. ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 11
    
49. dropInvalid  all  --  0.0.0.0/0            0.0.0.0/0
    
50. reject     udp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 135,445
    
51. reject     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpts:137:139
    
52. reject     udp  --  0.0.0.0/0            0.0.0.0/0           udp spt:137 dpts:1024:65535
    
53. reject     tcp  --  0.0.0.0/0            0.0.0.0/0           multiport dports 135,139,445
    
54. DROP       udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:1900
    
55. dropNotSyn  tcp  --  0.0.0.0/0            0.0.0.0/0
    
56. DROP       udp  --  0.0.0.0/0            0.0.0.0/0           udp spt:53
    
57. 
    
58. Chain all2all (0 references)
    
59. target     prot opt source               destination
    
60. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    
61. Reject     all  --  0.0.0.0/0            0.0.0.0/0
    
62. reject     all  --  0.0.0.0/0            0.0.0.0/0
    
63. 
    
64. Chain dropBcast (2 references)
    
65. target     prot opt source               destination
    
66. DROP       all  --  0.0.0.0/0            0.0.0.0/0           PKTTYPE = broadcast
    
67. DROP       all  --  0.0.0.0/0            0.0.0.0/0           PKTTYPE = multicast
    
68. 
    
69. Chain dropInvalid (2 references)
    
70. target     prot opt source               destination
    
71. DROP       all  --  0.0.0.0/0            0.0.0.0/0           state INVALID
    
72. 
    
73. Chain dropNotSyn (2 references)
    
74. target     prot opt source               destination
    
75. DROP       tcp  --  0.0.0.0/0            0.0.0.0/0           tcp flags:!0x17/0x02
    
76. 
    
77. Chain dynamic (4 references)
    
78. target     prot opt source               destination
    
79. 
    
80. Chain eth0_fwd (1 references)
    
81. target     prot opt source               destination
    
82. dynamic    all  --  0.0.0.0/0            0.0.0.0/0           state INVALID,NEW
    
83. lan2all    all  --  0.0.0.0/0            0.0.0.0/0           policy match dir out pol none
    
84. 
    
85. Chain eth0_in (1 references)
    
86. target     prot opt source               destination
    
87. dynamic    all  --  0.0.0.0/0            0.0.0.0/0           state INVALID,NEW
    
88. lan2all    all  --  0.0.0.0/0            0.0.0.0/0           policy match dir in pol none
    
89. 
    
90. Chain fw2all (2 references)
    
91. target     prot opt source               destination
    
92. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    
93. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
    
94. 
    
95. Chain fw2lan (1 references)
    
96. target     prot opt source               destination
    
97. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
    
98. ACCEPT     tcp  --  0.0.0.0/0            192.168.0.129       tcp dpt:14672
    
99. ACCEPT     udp  --  0.0.0.0/0            192.168.0.129       udp dpt:14672
    
100. fw2all     all  --  0.0.0.0/0            0.0.0.0/0
     
101. 
     
102. Chain lan2all (2 references)
     
103. target     prot opt source               destination
     
104. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
     
105. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0
     
106. 
     
107. Chain logdrop (0 references)
     
108. target     prot opt source               destination
     
109. LOG        all  --  0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 6 prefix `Shorewall:logdrop:DROP:'
     
110. DROP       all  --  0.0.0.0/0            0.0.0.0/0
     
111. 
     
112. Chain logreject (0 references)
     
113. target     prot opt source               destination
     
114. LOG        all  --  0.0.0.0/0            0.0.0.0/0           LOG flags 0 level 6 prefix `Shorewall:logreject:REJECT:'
     
115. reject     all  --  0.0.0.0/0            0.0.0.0/0
     
116. 
     
117. Chain net2all (2 references)
     
118. target     prot opt source               destination
     
119. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
     
120. Drop       all  --  0.0.0.0/0            0.0.0.0/0
     
121. DROP       all  --  0.0.0.0/0            0.0.0.0/0
     
122. 
     
123. Chain net2fw (1 references)
     
124. target     prot opt source               destination
     
125. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
     
126. ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:14682
     
127. ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:14682
     
128. ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0           tcp dpt:14692
     
129. ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0           udp dpt:14692
     
130. net2all    all  --  0.0.0.0/0            0.0.0.0/0
     
131. 
     
132. Chain net2lan (1 references)
     
133. target     prot opt source               destination
     
134. ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0           state RELATED,ESTABLISHED
     
135. ACCEPT     tcp  --  0.0.0.0/0            192.168.0.129       tcp dpt:14672
     
136. ACCEPT     udp  --  0.0.0.0/0            192.168.0.129       udp dpt:14672
     
137. net2all    all  --  0.0.0.0/0            0.0.0.0/0
     
138. 
     
139. Chain ppp0_fwd (1 references)
     
140. target     prot opt source               destination
     
141. dynamic    all  --  0.0.0.0/0            0.0.0.0/0           state INVALID,NEW
     
142. net2lan    all  --  0.0.0.0/0            0.0.0.0/0           policy match dir out pol none
     
143. 
     
144. Chain ppp0_in (1 references)
     
145. target     prot opt source               destination
     
146. dynamic    all  --  0.0.0.0/0            0.0.0.0/0           state INVALID,NEW
     
147. net2fw     all  --  0.0.0.0/0            0.0.0.0/0           policy match dir in pol none
     
148. 
     
149. Chain reject (10 references)
     
150. target     prot opt source               destination
     
151. DROP       all  --  255.255.255.255      0.0.0.0/0
     
152. DROP       all  --  224.0.0.0/4          0.0.0.0/0
     
153. DROP       all  --  0.0.0.0/0            0.0.0.0/0           PKTTYPE = broadcast
     
154. DROP       all  --  0.0.0.0/0            0.0.0.0/0           PKTTYPE = multicast
     
155. DROP       all  --  255.255.255.255      0.0.0.0/0
     
156. DROP       all  --  224.0.0.0/4          0.0.0.0/0
     
157. REJECT     tcp  --  0.0.0.0/0            0.0.0.0/0           reject-with tcp-reset
     
158. REJECT     udp  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-port-unreachable
     
159. REJECT     icmp --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-unreachable
     
160. REJECT     all  --  0.0.0.0/0            0.0.0.0/0           reject-with icmp-host-prohibited
     
161. 
     
162. Chain shorewall (0 references)
     
163. target     prot opt source               destination
     
164. 
     
165. Chain smurfs (0 references)
     
166. target     prot opt source               destination
     
167. LOG        all  --  255.255.255.255      0.0.0.0/0           LOG flags 0 level 6 prefix `Shorewall:smurfs:DROP:'
     
168. DROP       all  --  255.255.255.255      0.0.0.0/0
     
169. LOG        all  --  224.0.0.0/4          0.0.0.0/0           LOG flags 0 level 6 prefix `Shorewall:smurfs:DROP:'
     
170. DROP       all  --  224.0.0.0/4          0.0.0.0/0
     

复制代码

slny

我的是iptables+squid用ADSL上的,我在客户机试了你所说的网站,都能正常打开.我初学的不知道你的是什么原因引起.

brokencluster

个人愚见，看看是否是MTU的问题。