如何根据MAC地址过滤数据包?

9527

在PPPoE服务器上做了某个MAC地址的过滤
arptables -A INPUT --src-mac 00:XX:XX:XX:XX:XX -j DROP
可该MAC地址还是可以PPPoE拨号成功
是那里不对呢?

ssffzz1

用IPTABLES

9527

iptables的INPUT 链只能过滤IP目的地为本机的数据包，我想过滤的PPPoE Discovery包根本没IP啊

[ 本帖最后由 9527 于 2007-12-3 12:04 编辑 ]

platinum

记得 iptables 是不能阻止 dhcp 的，dhcp 也不能用 iptables 匹配和拦截，我不去定 PPPoE 是不是也如此
我没接触过 arptables，没有什么建设性意见
你可以试试 ssffzz1 版主的方法，也许可以
用 mac 模块
-m mac --mac-source xxxxxxx -j DROP

9527

我一开始用的是iptables MAC模块，不管用后才找到arptables的
看了看arptables 的介绍，好像正是我要的功能，不知道我哪里做的不对，它94不好用
谁能帮帮我啊

zyong8012

iptables -t nat -A PREROUTING -m mac --mac-source 00:XX:XX:XX:XX:XX -j DROP

platinum

原帖由 9527 于 2007-12-3 13:12 发表
我一开始用的是iptables MAC模块，不管用后才找到arptables的
看了看arptables 的介绍，好像正是我要的功能，不知道我哪里做的不对，它94不好用
谁能帮帮我啊

由于 iptables 工作于 IP 层，而 PPPoE 属于 L2 级别数据因此 iptables 必定无效
由于 PPPoE 工作过程中无需 ARP 机制，这也就是为什么说 PPPoE 不怕 ARP 病毒的原因，因此 arptables 无效
因此我想到了 ebtables，刚才做了一下测试，ebtables 的确可行，能够满足你的需求
# ebtables -A INPUT -s xx:xx:xx:xx:xx:xx -j DROP

9527

多谢版主，下班回家试试