iptables 如何控制单项访问

shuchi91

网络环境如下：

A网络 ===》 B网关 =》B网络

我现在要在B网关上加iptables 规则，也就是在forward链上加规则，目的是让A网络的人能访问B网络，但是B网络的人不能访问A网络。

我想问下这样的规则该怎加？  

-s A-network -d B-network -j accept//源为A 目的为B的全部放行。
-P forward DROP//默认全部DROP

?

这样好像不行，我有点被源地址与目的地址搞晕了，因为一个包都是有个来回的啊？不存在源于目的之说啊。

nelab

-m state

aaaaa5aa

没招

zhoutao0712

最好是 -m state --state NEW ，比-p --tcp-flags SYN 好

aaaaa5aa

原帖由 zhoutao0712 于 2010-1-29 14:39 发表
最好是 -m state --state NEW ，比-p --tcp-flags SYN 好

-m state --state NEW ，比-p --tcp-flags SYN 好,好在哪?关注...

hunhunsheng

我来试试看，  A网络 ==》 eth1=网关=eth0   ==》B网络

(假设
    A网络：192.168.10.0/24  
      B网络：192.168.20.0/24 )

如果仅是在原有规则上添加forward规则的话，见下面
#FORWARD rule
iptables -A FORWARD -o eth1  -s 192.168.20.0/24 -j DROP
iptables -A FORWARD -i  eth0  -s 192.168.10.0/24 -j ACCEPT


如果是重建规则，清空所有规则，然后一条NAT规则命令即可
#NAT rule
iptables -t nat -A POSTROUTING -i eth0 -j MASQUERADE