请问怎样限制ip地址范围进行包过滤?

铁凝

我的机房内有90几台机器, 同时有两个班在上机, 其中有一个班学网页,需要上网查些素材, 还有一个班学基础, 不需要上网, 两个班在同一网段, 现在的情况是一启用ip伪装的话, 所有同一网段的学生都可以上网了, 而我又不想一台一台的进行限制.
请问怎样让比如192.168.10.2-192.168.10.50学生可以上网, 而192.16810.51-192.168.10.96的学上不可以上网, 谢谢!

llzqq

这样设置意义不大，学生会改IP上网

xiaoyi1982

原帖由 铁凝 于 2005-12-7 10:31 发表
我的机房内有90几台机器, 同时有两个班在上机, 其中有一个班学网页,需要上网查些素材, 还有一个班学基础, 不需要上网, 两个班在同一网段, 现在的情况是一启用ip伪装的话, 所有同一网段的学生都可以上网了, 而我又 ...

iptables -t nat -P PREROUTING DROP
iptables -t nat -A PREROUTING -s 192.168.10.0/24 -d 192.168.10.0/24 -j ACCEPT
#192.168.10.(49-50)ACCEPT
iptables -t nat -A PREROUTING -s 192.168.10.50/30 -j ACCEPT
#192.168.10.(49-62)DROP
iptables -t nat -A PREROUTING -s 192.168.10.62/28 -j DROP
#192.168.10.(1-62)ACCEPT
iptables -t nat -A PREROUTING -s 192.168.10.0/26 -j ACCEPT
不知道上面这个能实现吗?
和下面的比起来,这个的效率怎么样?还是说效率其实是一样的?

iptables -t nat -P PREROUTING DROP
iptables -t nat -A PREROUTING -s 192.168.10.0/24 -d 192.168.10.0/24 -j ACCEPT
iptables -t nat -A PREROUTING -s 192.168.10.2 -j ACCEPT
iptables -t nat -A PREROUTING -s 192.168.10.3 -j ACCEPT
iptables -t nat -A PREROUTING -s 192.168.10.4 -j ACCEPT
..
..
..
iptables -t nat -A PREROUTING -s 192.168.10.50 -j ACCEPT

xiaoyi1982

原帖由 llzqq 于 2005-12-7 10:39 发表
这样设置意义不大，学生会改IP上网

在网关那里进行ip和mac绑定后可以.

但是如果客户端的把ip和mac都改了,那怎么办呢?
还有其它什么好的办法吗?

铁凝

谢谢楼上的几位 ！  学生是受限用户， 不可以更改ip地址的， 且ip是指定的。我是想把192.168.0.51-192.168.96的包给过滤掉！这样那些ip就不可以上网了。

skylove

给你一个另类点的解决办法.

在/etc/ethers里,把所有内网的ip mac 对应写进去.然后把你不想让它上网的机器的mac地址故意修改成错误的就ok了...记得保存了后要arp -f 哟。..