FORWARD

_shines

我想让内网的一台机器只通过80和443端口.
使用以下命令为什么没有生效？

iptables -A FORWARD -s 192.168.2.1 -p tcp --dport 80 -j ACCEPT

iptables -A FORWARD -s 192.168.2.1 -p tcp --dport 443 -j ACCEPT

iptables -A FORWARD -s 192.168.2.1 -j DROP

使用这些命令之后连网站都打不开了   FORWARD 链此前没有任何规则

哪位帮忙给看下  谢谢.

platinum

DNS 也不让出去？
那怎么解析域名得到 IP 地址啊？

_shines

platinum 发表于 2011-12-22 18:36
DNS 也不让出去？
那怎么解析域名得到 IP 地址啊？

哈哈  谢谢啊.   茅塞顿开啊.

对  我还想问个问题.  

我做的NAT  对客户机分配静态IP .  但是有人乱改IP.

MAC绑定只能对已知的MAC生效.  那怎么去拒绝新的MAC自己去配IP？

我的意思是指：只让对已绑定过MAC的IP通过 ， 未绑定过的都拒绝.  

有没有办法实现啊

还有就是 --dport 不支持指定多端口？  我看过版主你写的文档上好像支持多端口啊.   

platinum

请参考置顶的《iptables 高级使用研讨》的 PPT，里面有实例讲如何实现你的这个需求
http://bbs.chinaunix.net/thread-1925989-1-1.html

vermouth

要绑定 MAC 何不直接 dhcp，已知的给分配 ip，未分配的不让出就对了。

vermouth

想指定多个端口用 mport 么

_shines

vermouth 发表于 2011-12-22 21:26
想指定多个端口用 mport 么

iptables -A FORWARD -s 192.168.2.1 -p tcp -m multiport --dports 80,443 -j ACCEPT

搞定了.  

mport 简称不通过.  

--dport 和--dports 有啥区别啊

_shines

platinum 发表于 2011-12-22 21:24
请参考置顶的《iptables 高级使用研讨》的 PPT，里面有实例讲如何实现你的这个需求
http://bbs.chinaunix. ...

iptables -N MAC_CHECK
iptables -A FORWARD -i eth1 -o eth0 -j MAC_CHECK
iptables -A MAC_CHECK -s 172.16.11.101 -m mac  --mac-source XX:XX:XX:XX:XX:XX -j RETURN

一百台客户机  这样干的话， 确实有点费事儿

要是能有办法不让它去自动更新ARP表就好了

platinum

_shines 发表于 2011-12-23 15:21
iptables -N MAC_CHECK
iptables -A FORWARD -i eth1 -o eth0 -j MAC_CHECK
iptables -A MAC_CHECK -s  ...

只要“绑定”，就一定费事