Linux网络不通Tcpdump抓包提示:ICMP host *** unreachable - admin prohibited

现象

ping DNS通，ping 域名不通，telnet 域名端口不通

排故

tcpdump抓包显示：
114.114.114.114有回synack，判断网络层面正常。
后面显示ICMP host *** unreachable - admin prohibited，判断Linux本身存在问题可能性比较大。想起最近调整了Linux防火墙。

service iptables stop 将 iptables 关闭，测试ping域名、telnet域名端口正常，确定问题在iptables上。

拿出iptables调整前的备份截图对比，开启iptables，增加如下策略：

iptables -I INPUT 19 -s 0.0.0.0/0 **-m state --state ESTABLISHED,RELATED** -j ACCEPT

测试ping域名、telnet域名端口正常

关于-m state --state ESTABLISHED,RELATED复制了一段：
ESTABLISHED意思是包是完全有效的，而且属于一个已建立的连接，这个连接的两端都已经有数据发送。NEW表示包将要或已经开始建立一个新的连接，或者是这个包和一个还没有在两端都有数据发送的连接有关。
RELATED说明包正在建立一个新的连接，这个连接是和一个已建立的连接相关的。比如，FTP data transfer，ICMP error 和一个TCP或UDP连接相关。注意NEW状态并不在试图建立新连接的TCP包里寻找SYN标记，因此它不应该不加修改地用在只有一个防火墙或在不同的防火墙之间没有启用负载平衡的地方。