Problema al resolver dns con firewall

Hola a todos.

Vereis, tengo un laboratorio de prueba con un debian 10 grafico, un servidor debian 10 y un windows 7. El servidor debian hace de firewall con iptables. En el archivo /etc/resolv.conf tiene puesto el servidor dns de la red local. El caso es que los equipos cliente no resuelven las dns. Desde la terminal puedo hacer perfectamente un ping a 8.8.8.8, pero no a google.es. Sin embargo, si le añado la ip del servidor dns de google, si que me resuelve los dominios. Desde el propio firewall me permite hacer ping sin problema a google.es.

El laboratorio es este:

Maquina: Windows 7
IP: 192.168.3.9
Mascara: 255.255.255.0
Gateway: 192.168.3.10

Maquina: Debian 10 Grafico
IP: 192.168.4.9
Mascara: 255.255.255.0
Gateway: 192.168.4.10

Maquina: Debian 10 Server
IP1 enp0s3: 192.168.3.10/24
IP2 enp0s8: 192.168.4.10/24
IP3 enp0s9: 192.168.2.42/24 (Salida a internet)
DNS: 192.168.2.254 (servidor dns local)

Y el archivo de iptables, algo muy sencillo, tal que:

iptables -F
iptables -X
iptables -Z
iptables -t nat -F

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -s 192.168.3.0/24 -o enp0s9 -j SNAT --to 192.168.2.42
iptables -t nat -A POSTROUTING -s 192.168.4.0/24 -o enp0s9 -j SNAT --to 192.168.2.42

iptables -A FORWARD -p tcp -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p icmp -s 192.168.3.0/24 -j DROP
iptables -A INPUT -p icmp -s 192.168.4.0/24 -j ACCEPT

iptables -A FORWARD -p tcp -s 192.168.3.0/24 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.4.0/24 -j ACCEPT


El caso es que cuando lo hice la primera vez, funcionaba perfectamente, resolvia dns sin problema.
¿Alguna sugerencia de lo que tengo que hacer?


Gracias.

El servidor Debian debe tener los servidores DNS del Router. Que a su vez usa los de Google o los que fueren.
Esto avala si hay servidores DNS dedicados.
Pero siempre la configuración de los DNS son los del Router , que deben ser los de Google. Y los clientes son por DHCP automático.

Tal vez no le entendí bien.

@r4gnath0r

Al igual que @AXCESS no estoy muy seguro de su duda, así que aportaré mi granito de arena de acuerdo a lo que entiendo.

Por lo que me puedo imaginar usted hizo 'ping' la primera vez que realizó la prueba con la dirección IP '192.168.4.9', no tuvo problemas porque iptables le permite hacerlo según la siguiiente regla:

iptables -A INPUT -p icmp -s 192.168.4.0/24 -j ACCEPT

Mientras que para '192.168.3.9' descarta los paquetes, según la siguiente regla:

iptables -A INPUT -p icmp -s 192.168.3.0/24 -j DROP

Pruebe primero con 'REJECT', si le da un mensaje que no esperaba es la regla que está causando el conflicto, si no haga la prueba con 'ACCEPT' mientras tanto, si no le surge ningún inconveniente es la regla que está causando el problema.

Sólo es una conjetura...

~ DtxdF

El problema está en que no permite hacer ping fuera de la lan. Es decir, dentro de las subredes permite hacer ping, pero si desde cualquier equipo intento hacer ping a google.com por ejemplo, no resuelve las dns. Antes funcionaba sin problema. El servidor debian con iptables tiene puestas las dns en su archivo resolv.conf.

@r4gnath0r17

¿Ya hizo lo que le dije anteriormente?

Después qué haga lo que le dije o para hacer énfasis, aplicar la regla de IPTABLES anteriormente mencionada para hacer un ping a posteriori.

~ DtxdF