请教能人一个iptables的问题

aaccdd

启用iptables脚本之后firefox无法正常使用，
现象：
只要在地址栏输入网址，
firefox立刻无反应，(输入第一个字母就没反应了)
只能kill掉;
但是只要不用这个脚本就没有问题。

脚本就是从linuxsir抄的，
改了改。
问题出在哪里，
请能人帮忙看一下。

双网卡，
eth0接内网，
eth1接adsl猫。

1. #!/bin/sh
   
2. 
   
3. #启用转发(FORWARD)功能
   
4. # Enabling IP Forwarding......"
   
5. echo "Enabling IP Forwarding........"
   
6. echo 1 > /proc/sys/net/ipv4/ip_forward
   
7. 
   
8. #这一步不是很需要。
   
9. # Non-Required proc configration
   
10. #echo 1 > /proc/sys/net/ipv4/ip_dynaddr
    
11. 
    
12. #开始定义iptables
    
13. # Enabling iptables rules
    
14. 
    
15. # Internet Configuration.
    
16. INET_IF="ppp0"
    
17. 
    
18. #外网网卡
    
19. EXT_IF="eth1"
    
20. 
    
21. #内网网卡
    
22. LAN_IF="eth0"
    
23. LAN_IP="192.168.0.1"
    
24. LAN_IP_RANGE="192.168.0.0/24"
    
25. TRUSTED_TCP_PORT="22 25 53 80 110 143 443 3128 6000 6001 6002 7100"
    
26. 
    
27. # your LAN's IP range and localhost IP. /24 means to only use the first 24
    
28. # bits of the 32 bit IP address. the same as netmask 255.255.255.0
    
29. # Localhost Configuration.
    
30. LO_IF="lo"
    
31. LO_IP="127.0.0.1"
    
32. 
    
33. #加载模块，有些已经内建，为了以防万一，还是加上了
    
34. # Module loading.
    
35. echo "modprobe modules"
    
36. modprobe ip_tables
    
37. modprobe ip_nat_ftp
    
38. modprobe ip_conntrack
    
39. modprobe ip_conntrack_ftp
    
40. # 规则初始化，设置为默认都为DROP
    
41. echo "Enabling iptables rules"
    
42. 
    
43. # Reset the default policies in the tables
    
44. iptables -F
    
45. iptables -X
    
46. iptables -F -t mangle
    
47. iptables -X -t mangle
    
48. iptables -F -t nat
    
49. iptables -X -t nat
    
50. iptables -Z -t nat
    
51. 
    
52. # Set policies
    
53. iptables -P INPUT DROP
    
54. iptables -P OUTPUT DROP
    
55. iptables -P FORWARD DROP
    
56. 
    
57. # 允许ping localhost,ping 192.168.0.1/2
    
58. # Allow loopback access
    
59. iptables -A INPUT -p icmp -i lo -j ACCEPT
    
60. iptables -A OUTPUT -p icmp -o lo -j ACCEPT
    
61. 
    
62. # 允许代理和内网客户机互相传输数据（包括ping）
    
63. # Allow ping LAN
    
64. iptables -A INPUT -p ALL -i $LAN_IF -s $LAN_IP_RANGE -j ACCEPT
    
65. iptables -A OUTPUT -p ALL -o $LAN_IF -d $LAN_IP_RANGE -j ACCEPT
    
66. 
    
67. # 允许外网的网卡与内网互相通讯。接收数据只接受响应封包，否则不予放行。发送数据没有限制。
    
68. # Allow ppp0
    
69. iptables -A INPUT -p ALL -i $INET_IF -m state --state ESTABLISHED,RELATED -j ACCEPT
    
70. iptables -A OUTPUT -p ALL -o $INET_IF -j ACCEPT
    
71. 
    
72. # 建立用户定义的链
    
73. # Creat userspecified chains
    
74. iptables -N allowed
    
75. iptables -N tcp_packets
    
76. iptables -N bad_tcp_packets
    
77. iptables -N icmp_packets
    
78. 
    
79. #bad_tcp_packets规则链的作用是，将要求重新导向的联机记录起来，然后将封包丢弃（防止联机被绑架，但是会影响第三方交谈的服务，如MS Media Server）
    
80. # bad_tcp_packets chain
    
81. iptables -A bad_tcp_packets -p tcp --tcp-flags SYN,ACK SYN,ACK -m state --state NEW -j REJECT --reject-with tcp-reset
    
82. iptables -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j LOG --log-prefix "New not syn:"
    
83. iptables -A bad_tcp_packets -p tcp ! --syn -m state --state NEW -j DROP
    
84. 
    
85. # allowed规则链的作用是：允许要求联机封包或响应封包进入，其余丢弃。
    
86. # allowed chain
    
87. iptables -A allowed -p tcp --syn -j ACCEPT
    
88. iptables -A allowed -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT
    
89. iptables -A allowed -p tcp -j DROP
    
90. 
    
91. # icmp_packets规则链的功能是：允许ping 封包进入，将其余封包丢弃。
    
92. # ICMP rules
    
93. iptables -A icmp_packets -p icmp -s 0/0 --icmp-type 8 -j ACCEPT
    
94. iptables -A icmp_packets -p icmp -s 0/0 --icmp-type 11 -j ACCEPT
    
95. 
    
96. # INPUT chain
    
97. # 进入防火墙主机的tcp封包必须先进行bad_tcp_packets过滤。但是有时候影响网络性能。
    
98. # first bad_tcp_packets filter
    
99. iptables -A INPUT -p tcp -j bad_tcp_packets
    
100. 
     
101. #从外网进入防火墙主机的icmp封包必须先进行icmp_packets过滤。这是防止黑客传送不完整的ip封包，系统会响应icmp封包通知对方，导致主机位置被侦测出来。
     
102. 
     
103. # second icmp_packets filter
     
104. iptables -A INPUT -p icmp -i $INET_IF -j icmp_packets
     
105. 
     
106. # 打开信任的服务
     
107. # Open trusted ports
     
108. echo "Open trusted ports....."
     
109. iptables -N services
     
110. for PORT in $TRUSTED_TCP_PORT; do
     
111. iptables -A tcp_packets -s 0/0 -p tcp --dport $PORT -j allowed
     
112. done
     
113. iptables -A INPUT -p tcp -i $INET_IF -j tcp_packets
     
114. 
     
115. # Allow BitTorrent connections
     
116. # modified for only ports (was 6881:6889)
     
117. iptables -A INPUT -p tcp -s 0/0 -i ppp0 --dport 6881:6883 -j ACCEPT
     
118. iptables -A INPUT -p tcp -s 0/0 -i ppp0 --dport 6969 -j ACCEPT
     
119. 
     
120. # 拒绝外部使用内网ip欺骗。
     
121. # deny local cheat
     
122. iptables -A INPUT -i $INET_IF -s 192.168.0.0/16 -j DROP
     
123. iptables -A INPUT -i $INET_IF -s 10.0.0.0/8 -j DROP
     
124. iptables -A INPUT -i $INET_IF -s 192.168.1.0/24 -j DROP
     
125. iptables -A INPUT -i $INET_IF -s 127.0.0.0/8 -j DROP
     
126. 
     
127. # 从LAN进入防火墙主机的DHCP封包，予以放行，只有当防火墙担任DHCP时才有用
     
128. # allow DHCP_packets from LAN
     
129. iptables -A INPUT -p udp -i $LAN_IF --dport 67 --sport 68 -j ACCEPT
     
130. 
     
131. #限制过滤规则的比对频率为每分钟平均流量三个封包（超过上限的封包将暂停比对），并将瞬间流量设定为一次最多处理三个封包（超过上限的封包将丢弃不予处理），这类封包通常是黑客用来进行阻断式攻击
     
132. iptables -A INPUT -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level INFO --log-prefix "IPT INPUT packets died:"
     
133. 
     
134. # FORWARD chain
     
135. # bad_tcp_packets filter
     
136. iptables -A FORWARD -p tcp -j bad_tcp_packets
     
137. 
     
138. # 从LAN到WAN的封包统统放行
     
139. iptables -A FORWARD -o $INET_IF -s $LAN_IP_RANGE -j ACCEPT
     
140. 
     
141. # same to above 和上面的规则功能相同
     
142. #iptables -A FORWARD -i $LAN_IF -s $LAN_IP_RANGE -j ACCEPT
     
143. # 从WAN到LAN的封包仅放行回应封包
     
144. iptables -A FORWARD -i $INET_IF -d $LAN_IP_RANGE -m state --state ESTABLISHED,RELATED -j ACCEPT
     
145. 
     
146. #限制过滤规则的比对频率为每分钟平均流量三个封包（超过上限的封包将暂停比对），并将瞬间流量设定为一次最多处理三个封包（超过上限的封包将丢弃不予处理），这类封包通常是骇客用来进行阻断式攻击
     
147. iptables -A FORWARD -m limit --limit 3/minute --limit-burst 3 -j LOG --log-level DEBUG --log-prefix "IPT FORWARD packets died:"
     
148. 
     
149. # 一下是防止PING
     
150. iptables -A FORWARD -f -m limit --limit 100/s --limit-burst 100 -j ACCEPT
     
151. iptables -A FORWARD -p icmp -m limit --limit 1/s --limit-burst 10 -j ACCEPT
     
152. # 防止DDOS
     
153. 
     
154. #iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT
     
155. # UDP包一律放行
     
156. # allow UDP
     
157. iptables -A FORWARD -p udp -d $LAN_IP_RANGE -i $EXT_IF -j ACCEPT
     
158. 
     
159. # 将WWW服务转向Squid。
     
160. iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
     
161. iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE
     
162. 
     
163. ## iptables END
     
164. #echo "Enabling Squid"
     
165. #/usr/local/squid/sbin/squid
     
166. echo "Enabling ADSL"
     
167. adsl-start
     

复制代码