dns解析失败若怀疑防火墙拦截53端口，需验证udp 53连通性（如nc -uvz 8.8.8.8 53）、output链规则（iptables/firewalld）及服务状态（journalctl/tcpdump），并区分tcp与udp用途。
Linux中DNS解析失败，若怀疑是防火墙拦截了53端口，需从连通性、规则配置、服务状态三方面交叉验证。UDP 53 是 DNS 查询的默认通道，绝大多数解析超时或“unknown host”错误都卡在这一步。
确认DNS服务器53端口是否真正可达
不能只看 ping 通不通，必须测试 UDP 53 端口本身：
- 用 nc -uvz 8.8.8.8 53 测试（返回 succeeded 才算通）；
- 若失败，换其他公共DNS（如 1.1.1.1、183.60.82.98）再试，排除上游问题；
- 注意：nc 默认测 TCP，加 -u 才是 UDP；TCP 53 仅在响应过大或区域传输时启用，日常解析依赖 UDP。
检查 OUTPUT 链是否阻止了出站 DNS 请求
很多故障根源是本机防火墙主动丢弃了发往 53 端口的 UDP 包：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- 运行 sudo iptables -L OUTPUT -n | grep :53，查看是否有 DROP 或 REJECT 规则匹配 UDP 53；
- 若使用 firewalld：sudo firewall-cmd --list-all | grep 53，确认 public/active zone 是否放行 udp port=53；
- 特别注意 OUTPUT 链——即使 INPUT 没拦，OUTPUT 被 DROP 也会导致“查不了”，因为请求根本发不出去。
排查是否误启了防护型 DNS 规则
有些安全加固脚本或云平台默认策略会主动封禁 DNS 出向流量，防止反射攻击：
- 检查是否存在类似 iptables -A OUTPUT -p udp --dport 53 -j DROP 的规则；
- 确认是否启用了 rp_filter（反向路径过滤）：sysctl net.ipv4.conf.all.rp_filter，值为 2 或 1 且网络拓扑不规范时，可能误判合法 DNS 响应为伪造包而丢弃；
- 临时关闭防火墙测试：sudo systemctl stop iptables 或 sudo systemctl stop firewalld，再跑 dig @8.8.8.8 example.com 看是否恢复。
结合日志和抓包进一步佐证
光看规则不够，得看到底有没有包被拦：
- 执行 sudo journalctl -u systemd-resolved --since "1 hour ago" | grep -i dns，找 “timeout” 或 “refused” 提示；
- 用 sudo tcpdump -i any port 53 -n 抓包，发起 dig 后观察：有无 outbound UDP 到 8.8.8.8:53？有无 inbound 回包？若只有出包无回包，大概率是 OUTPUT DROP 或中间网络拦截；
- 对比 dig @8.8.8.8 example.com 和 dig example.com 结果：前者通后者不通，基本锁定本地防火墙或 resolv.conf 配置问题。
