无法通过 nc 访问主机，但可以 ping

Question

我正在尝试使用 netcat 从一台虚拟机连接到另一台虚拟机的端口 25，但它告诉我，no route to host尽管我可以 ping。我确实将防火墙默认策略设置为丢弃，但我有一个例外，可以接受该特定子网上端口 25 的流量。我可以使用 nc 在端口 25 上从 VM 3 连接到 VM 2，但不能从 VM 2 连接到 3。

这是我的 VM2 防火墙规则的预览

这是我的 VM 3 防火墙规则的预览

当我显示我拥有的侦听服务时*:25，这意味着它正在侦听所有 ipv4 ip 地址和:::25ipv6 地址。我不明白错误在哪里以及为什么不工作两个防火墙规则都接受端口 25 上的流量，因此它应该连接。我尝试比较两者之间的差异以了解为什么我可以从 vm3 连接到 vm2 但配置都是相同的。关于可能是什么问题的任何建议？

更新停止 iptable 服务解决了问题，但我仍然需要存在这些规则。

Answer 1

您no route to host的机器可以 ping 是防火墙的标志，它拒绝您礼貌地访问（即使用 ICMP 消息，而不仅仅是 DROP-ping）。

看到你的REJECT台词了吗？它们与描述匹配（REJECT with ICMP xxx）。问题是那些看似 (#) 的所有 REJECT 行位于您的规则中间，因此根本不会执行以下规则。(#) 很难说如果这些是真正的包罗万象的行，输出iptables -nvL会更好。

将这些 REJECT 规则放在最后，一切都应该按预期工作。