路由中iptables问题。。。

chuizx

在iptables规则中某网段的机器禁止访问外网，这样可以。我想只允许某网段的机器允许访问某一网站，其他的网站不允许访问，但是网段的机器能正常上网，好像iptables在这里没有起作用。我用的是NAT表。以下是部分代码：  高手指点下啊。。。
if [ "$f1" = "ALL" ]; then  //所有IP的时候
        ip1=`/bin/echo $LAN1_IPADDR | /usr/bin/cut -d '.' -f1`
                                ip2=`/bin/echo $LAN1_IPADDR | /usr/bin/cut -d '.' -f2`
                                ip3=`/bin/echo $LAN1_IPADDR | /usr/bin/cut -d '.' -f3`
                                ip4="0/24"
                                ip_net="$ip1.$ip2.$ip3.$ip4"
                                if [ "$f3" = "refuse" ]; then  //禁止访问的网站
                                                    iptables -t nat -I $WEBPAGE_CHAIN -s $ip_net -d $f4 -j DROP 2>/dev/null
                    else
                            iptables -t nat -I $WEBPAGE_CHAIN -s $ip_net -d $f4 -j ACCEPT 2>/dev/null                    //   允许访问网站   问题就除在这 起不到作用（所有的网站还是可以访问）     
                    fi
    elif [ "$f1" = "ONE" ]; then  //单IP的时候
                    IPADDR="$f2"
                    if [ "$f3" = "refuse" ]; then
                                                    iptables -t nat -I $WEBPAGE_CHAIN -s $f2 -d $f4 -j DROP 2>/dev/null
                    else
                                      #iptables -t nat -I  $WEBPAGE_CHAIN -s $f2 -d $f4 -j ACCEPT  2>/dev/null
                                 
                    fi

chuizx

:wink:

chuizx

我是这样写的：iptables -A FORWARD　－s 192.168.0.230 -d www.baidu.com -j ACCEPT,  但是其他网站还是可以访问。FORWARD的策略(policy)为DROP。

chuizx

我刚刚接触iptables，不怎么懂你的意识哈。。再细说下，谢谢！

chuizx

我是用SecureCRT登入路由上操作的，打这个命令后报没有这个命令。请问楼上的，iptables-save出来的结果和本帖的问题有什么联系吗？谢谢！

chuizx

Chain FORWARD (policy DROP)
target     prot opt source               destination         
sysfw      all  --  anywhere             anywhere            state NEW
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     all  --  192.168.0.0/24       anywhere            state NEW
ACCEPT     all  --  220.181.37.55        192.168.0.230      
ACCEPT     all  --  220.181.6.6          192.168.0.230      
ACCEPT     all  --  192.168.0.230        220.181.6.6         
ACCEPT     all  --  192.168.0.230        220.181.37.55      

Chain INPUT (policy DROP)
target     prot opt source               destination         
cfirewall  all  --  anywhere             anywhere            
sysfw      all  --  anywhere             anywhere            state NEW
re-admin   all  --  anywhere             anywhere            
lo-admin   all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination         

Chain cfirewall (1 references)
target     prot opt source               destination         

Chain lo-admin (1 references)
target     prot opt source               destination         
ACCEPT     all  --  192.168.0.0/24       anywhere            

Chain p2pfw (0 references)
target     prot opt source               destination         

Chain re-admin (1 references)
target     prot opt source               destination         
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh

Chain sysfw (2 references)
target     prot opt source               destination         
DROP       udp  --  anywhere             anywhere            udp dpts:135:netbios-ssn
DROP       tcp  --  anywhere             anywhere            tcp dpts:135:netbios-ssn
DROP       tcp  --  anywhere             anywhere            tcp dpt:445

chuizx

谢谢 我试试。。

[ 本帖最后由 chuizx 于 2008-8-15 10:48 编辑 ]

chuizx

sysfw      all  --  anywhere             anywhere            state NEW
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     all  --  192.168.0.0/24       anywhere            state NEW

因为这个的关系，因此你想阻止对某个外网地址的访问有时候会不成功。


这个我不知道是做什么的，不好删除。那有没有其他办法能行呢？

chuizx

iptables -I FORWARD　－s 192.168.0.230 -d www.baidu.com -j ACCEPT

你这样来加试试。

这个我试过，结果所有网站都可以上

chuizx

正在试哈 。。。