添加IPTables默认拒绝规则后SSH终端超时问题排查

看起来你遇到的问题核心是默认拒绝规则拦截了关键的本地或DNS流量，导致sudo在解析主机名时超时，同时SSH终端的交互也因为未放行已连接的会话流量而变慢。下面一步步帮你排查和解决：

1. 先临时恢复关键流量（立即缓解问题） #

首先执行以下命令，先把必要的流量放行，看看问题是否消失：

放行本地回环接口流量 #

本地进程（包括sudo）经常通过回环接口（lo）通信，默认拒绝规则会拦截这部分流量：

iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

放行已建立/相关的连接流量 #

SSH连接建立后，后续的交互数据包属于已建立的会话，必须放行才能保证终端流畅：

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

放行DNS查询流量 #

sudo报错unable to resolve host是因为它在尝试解析你的主机名foo.bar.domain，而DNS请求（UDP 53端口，部分场景用TCP 53）被IPTables拦截了：

# 放行UDP DNS请求（绝大多数场景用这个）
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT
# 可选：放行TCP DNS请求（用于大尺寸DNS查询）
iptables -A OUTPUT -p tcp --dport 53 -j ACCEPT

确认SSH端口已放行 #

虽然你说SSH在2222端口，但再确认这条规则存在（如果没有就加上）：

iptables -A INPUT -p tcp --dport 2222 -j ACCEPT

执行完这些命令后，试试重新打开SSH终端或者执行sudo命令，应该不会再出现超时和缓慢的问题了。

2. 永久解决：完善IPTables规则 #

上面的命令是临时生效的，重启后会消失。你需要把这些规则保存到IPTables的配置文件里（不同系统路径可能不同）：

# Debian/Ubuntu系保存规则
iptables-save > /etc/iptables/rules.v4
# CentOS/RHEL系保存规则
# iptables-save > /etc/sysconfig/iptables

3. 备选方案：修改hosts文件跳过DNS解析 #

如果你不想依赖DNS，也可以直接在本地hosts文件里映射主机名到回环地址，这样sudo就不会发起DNS查询了：

echo "127.0.0.1 foo.bar.domain foo" >> /etc/hosts

这个方法能彻底解决sudo的解析超时问题，即使DNS流量被拦截也不受影响。

为什么会出现这个问题？ #

当你添加默认拒绝规则（比如iptables -P INPUT DROP或iptables -P OUTPUT DROP）时，IPTables会拦截所有未被明确允许的流量。而你之前的规则很可能漏掉了：

• 本地回环接口的流量（很多本地服务依赖它）
• 已建立会话的后续流量（SSH交互需要这个）
• DNS查询的出站流量（sudo解析主机名需要）

这些流量被拦截后，就会出现终端缓慢、sudo解析超时的现象——超时后系统会 fallback 到本地解析或者直接继续执行，所以报错后能立即拿到提示符。

内容的提问来源于stack exchange，提问作者Brandon Lebedev