iptables 如何控制单项访问

shuchi91

网络环境如下：\r\n\r\nA网络 ===》 B网关 =》B网络\r\n\r\n我现在要在B网关上加iptables 规则，也就是在forward链上加规则，目的是让A网络的人能访问B网络，但是B网络的人不能访问A网络。\r\n\r\n我想问下这样的规则该怎加？  \r\n\r\n-s A-network -d B-network -j accept//源为A 目的为B的全部放行。\r\n-P forward DROP//默认全部DROP\r\n\r\n?\r\n\r\n这样好像不行，我有点被源地址与目的地址搞晕了，因为一个包都是有个来回的啊？不存在源于目的之说啊。

zhoutao0712

最好是 -m state --state NEW ，比-p --tcp-flags SYN 好

hunhunsheng

我来试试看，  A网络 ==》 eth1=网关=eth0   ==》B网络\r\n\r\n(假设\r\n    A网络：192.168.10.0/24  \r\n      B网络：192.168.20.0/24 )\r\n\r\n如果仅是在原有规则上添加forward规则的话，见下面\r\n#FORWARD rule\r\niptables -A FORWARD -o eth1  -s 192.168.20.0/24 -j DROP\r\niptables -A FORWARD -i  eth0  -s 192.168.10.0/24 -j ACCEPT\r\n\r\n\r\n如果是重建规则，清空所有规则，然后一条NAT规则命令即可\r\n#NAT rule\r\niptables -t nat -A POSTROUTING -i eth0 -j MASQUERADE