Giancarlo Martini ha scritto:
[...]
Vorrei disabilitare tutto il restante traffico che attraversa il
router, escluso i servizi di dns che se non erro sono sulla porta 53
tcp e udp.
è sufficiente la porta 53 udp
La domanda è Devo agire sulla catena di INPUT o quella di FORWARD ?
A rigor di logica su quella di FORWARD, ma impostando il DROP come
regola di default e permettendo solo il passaggio ai pacchetti che
hanno come porta finale la 53 non mi funziona.
Devo agire forse su quella di INPUT ?
no, la catena di input non la usi se il traffico è diretto da e verso la
tua rete.
il problema, se ho ben capito, è che non ricevi le risposte dal server dns.
quindi oltre ad aprire ai pacchetti che hanno come destinazione la porta
53, dalla rete interna verso l'esterno, devi accettare le risposte, che
non hanno come destinazione la 53 ;-)