# Nftables règle DNS (port 53)

**URL:** <https://www.debian-fr.org/t/nftables-regle-dns-port-53/85531>\
**Category:** Support Debian\
**Tags:** pare-feu\
**Created:** [Octobre 20, 2021, 9:14 UTC](https://www.debian-fr.org/t/nftables-regle-dns-port-53/85531 "2021-10-20T21:14:27Z")\
**Posts on this page:** 5\
**Page:** 1

<div class="post-metadata">

**Author:** ![anon64844052](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/65b543/32.png) [@anon64844052](https://www.debian-fr.org/u/anon64844052)\
**Post date:** [Octobre 20, 2021, 9:14 UTC](https://www.debian-fr.org/t/nftables-regle-dns-port-53/85531/1 "2021-10-20T21:14:27Z")

</div>

Bonsoir,

Je me forme à Nftables et je n’arrive pas à configurer ce firewall pour ma règle DNS.

Voici mes règles Nftables :

```nohighlight
root@debian-firewall:/home/clem# /usr/sbin/nft list table ip mon_filtreIPv4
table ip mon_filtreIPv4 {
        chain input {
                type filter hook input priority filter; policy accept;
                udp dport 53 accept
                tcp dport 53 accept
                tcp dport 80 accept
                tcp dport 443 accept
                ip saddr 192.168.0.24 tcp dport 22 accept
                icmp type echo-reply accept
                drop
        }
        chain output {
                type filter hook output priority filter; policy accept;
        }
}

```

Tout fonctionne sauf la règle DNS (port 53). Quand je tape `nslookup google.fr`, rien ne se passe.

Merci beaucoup et à dispo.

Cordialement,  
Clément

---

<div class="post-metadata">

**Author:** ![Almtesh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/almtesh/32/10312_2.png) [@Almtesh](https://www.debian-fr.org/u/Almtesh)\
**Post date:** [Octobre 21, 2021, 4:39 UTC](https://www.debian-fr.org/t/nftables-regle-dns-port-53/85531/2 "2021-10-21T04:39:56Z")

</div>

> [@anon64844052](#):
>
> Quand je tape `nslookup google.fr` , rien ne se passe.

Est-ce que le serveur DNS est bien opérationnel sur debian-firewall ?  
Essaie de lancer `nslookup google.fr localhost` sur le firewall.

---

<div class="post-metadata">

**Author:** ![anon64844052](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/65b543/32.png) [@anon64844052](https://www.debian-fr.org/u/anon64844052)\
**Post date:** [Octobre 21, 2021, 7:10 UTC](https://www.debian-fr.org/t/nftables-regle-dns-port-53/85531/3 "2021-10-21T07:10:21Z")

</div>

Après recherches, j’ai finalement réussi à trouver.

Je m’étais trompé dans ma règle. La bonne règle à ajouter via un terminal est :

`/usr/sbin/nft add rule mon_filtreIPv4 input udp sport 53 accept`

Par la suite, les commandes `nslookup google.fr` et `nslookup localhost` fonctionnent correctement.

Merci de m’avoir aidé 🙂

Clément

---

<div class="post-metadata">

**Author:** ![PascalHambourg](https://www.debian-fr.org/user_avatar/www.debian-fr.org/pascalhambourg/32/5837_2.png) [@PascalHambourg](https://www.debian-fr.org/u/PascalHambourg)\
**Post date:** [Octobre 21, 2021, 11:41 UTC](https://www.debian-fr.org/t/nftables-regle-dns-port-53/85531/4 "2021-10-21T11:41:53Z")

</div>

> [@anon64844052](#):
>
> La bonne règle à ajouter via un terminal est :
> 
> `/usr/sbin/nft add rule mon_filtreIPv4 input udp sport 53 accept`

Non, c’est une très mauvaise règle qui introduit une faille béante dans ton pare-feu car elle accepte tous les paquets UDP entrants à destination de n’importe quel port du moment que le port source (contrôlé par l’émetteur) est 53. Si le but est d’acccepter les paquets de réponse du serveur DNS interrogé, il vaut mieux utiliser le suivi de connexion (conntrack).

---

<div class="post-metadata">

**Author:** ![anon64844052](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/65b543/32.png) [@anon64844052](https://www.debian-fr.org/u/anon64844052)\
**Post date:** [Octobre 21, 2021, 2:08 UTC](https://www.debian-fr.org/t/nftables-regle-dns-port-53/85531/5 "2021-10-21T14:08:36Z")

</div>

Bonjour Pascal,

Merci de l’info, j’ai du temps devant moi, je vais creuser dans ce sens.

Clément