iptables的设置

zl624867243

我用iptables做了端口映射，从13306转发到内网的3306，但是我想控制外网某个ip 113.118.110.250 能访问转发的端口，其他ip不能访问该如何设置？我在input链上设置不行。该怎么控制了？

1. # Generated by iptables-save v1.4.7 on Sat Nov 28 13:29:40 2015
   
2. *nat
   
3. :PREROUTING ACCEPT [0:0]
   
4. :POSTROUTING ACCEPT [0:0]
   
5. :OUTPUT ACCEPT [0:0]
   
6. -A POSTROUTING -o eth0 -j MASQUERADE
   
7. 
   
8. -A PREROUTING -p tcp -m tcp --dport 13306 -j DNAT --to-destination 192.168.2.34:3306
   
9. -A POSTROUTING -d 192.168.2.34 -p tcp -m tcp --dport 3306 -j SNAT --to-source 58.61.48.159
   
10. 
    
11. COMMIT
    
12. 
    
13. # Completed on Sat Nov 28 13:29:40 2015
    
14. # Generated by iptables-save v1.4.7 on Sat Nov 28 13:29:40 2015
    
15. 
    
16. *filter
    
17. :INPUT ACCEPT [0:0]
    
18. :FORWARD ACCEPT [0:0]
    
19. :OUTPUT ACCEPT [134:14800]
    
20. -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
    
21. -A INPUT -p icmp -j ACCEPT
    
22. -A INPUT -i lo -j ACCEPT
    
23. ##ssh
    
24. -A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
    
25. 
    
26. # -A INPUT --dport 13306:13306 -j DROP
    
27. #-A INPUT -m state --state NEW -m tcp -p tcp --dport 13306 -j ACCEPT
    
28. #-A INPUT  -s 113.118.110.250/32 -m state --state NEW -m tcp -p tcp --dport 13306 -j ACCEPT
    
29. 
    
30. ######################
    
31. -A INPUT -j REJECT --reject-with icmp-host-prohibited
    
32. #-A FORWARD -j REJECT --reject-with icmp-host-prohibited
    
33. COMMIT
    
34. # Completed on Sat Nov 28 13:29:40 2015
    

复制代码

lyhabc

加两条

iptables -A INPUT -p tcp -s 113.118.110.250 --dport 13306 -j ACCEPT  
iptables -A INPUT -j DROP

zl624867243

回复 2# lyhabc

你试过没有？我都说了在input链做限制不行。

   

zl624867243

大家有思路没有？？是否放到shell板块回复的人多点？

dn833

1. -A PREROUTING -s 113.118.110.250 -p tcp -m tcp --dport 13306 -j DNAT --to-destination 192.168.2.34:3306
   

复制代码

have a try

zl624867243

回复 5# dn833


    试过了不行.

dn833

不行的话，你service iptables restart然后iptables -vnL发结果上来看看呗

zl624867243

回复 7# dn833


    可以了 汗 之前写了两条大意了.

dn833

zl624867243 发表于 2015-11-30 16:58
回复 7# dn833

dbsrv

INPUT链是访问这个NAT本机的，限制访问映射的3306应该是在FORWARD链或者是PREROUTING里控制。
第一种方法：

1. 
   
2. iptables -A FORWARD -i $ETH_WAN -o $ETH_LAN  -s  113.118.110.250  -d 192.168.2.34 -p tcp --dport 3306  -j ACCEPT
   
3. iptables -A FORWARD -i $ETH_WAN -o $ETH_LAN -d 192.168.2.34 -j DROP
   

复制代码

第二种方法：

1. 
   
2. iptables -t nat -A PREROUTING -i $ETH_WAN -s  113.118.110.250  \
   
3. -d $IP_WAN -p tcp --dport 13306 -j DNAT --to 192.168.2.34:3306
   

复制代码