请教iptables如何限制某段ip访问服务器

seali

只允许202.194.*和192.168.*访问服务器的21端口,
这样写可以吗？谢谢~~~

iptables -A input -p tcp -s 202.194.0.0/16 --dport 21 -j ACCEPT
iptables -A input -p tcp -s 192.168.0.0/16 --dport 21 -j ACCEPT
iptables -A input -dport 21 -j DROP

JavaJing

最后一条：
       iptables -A input -dport 21 -j DROP是什么意思？

JavaJing

我是想问一下这名在这里起到什么作用？？？？

RootZero

不可以，这样写。你在上面没有说请楚很多东西，一，你是机子是不是双网卡，二，202，194。0。0是外网地址吗？三，你的FTP是这本机上吗？
我在这果说一下，iptables 有三个表forward,nat,mangle，在这三个表又有个各自的链,比如说nat 就有PREROUTING,POSTROUTING,INPUT这些链，其中PREROUTING是数据包进入时的规则等等，
在这三个表中用的多的也就是INPUT OUTPUT FORWARD 这三个链
有这的规则
一，如果进入的包访问的是本机，数据包将只会经过INPUTP这个链
二，如果进入的包不是访问的本机，而ip 转发功能也没有打开，或没有定义此包的规则，些包将被丢弃。
三，如果进入的包不是访问的本机，而ip转发功能已打开，数据将经过FORWARD链，被发出去
四，如果是本机发出的数据包，将通过OUTPUT链被发出去
所以一个好的规则是看你的整个网络的一些详细的情况来写出来的

whd

楼上的说得言简意赅，太好了，能否有更详细一点的，我看了很多iptables的说明，都是说得太正式了，反倒不好理解。

creat7151

very good !!       

seali

原帖由 "RootZero" 发表：
不可以，这样写。你在上面没有说请楚很多东西，一，你是机子是不是双网卡，二，202，194。0。0是外网地址吗？三，你的FTP是这本机上吗？
我在这果说一下，iptables 有三个表forward,nat,mangle，在这三个表又有个各..........

谢谢解释，对iptables不大熟悉。。。。
en，是这样的：
服务器是单网卡，上面跑着ftp服务。另外服务器还跑着http服务。。。
现在想用iptables限制几个ip段可以访问ftp服务，其他的ip段不能访问。
比如只允许202.194.*和202.195.*的ip段访问，这样写呢？
iptables -A INPUT -p tcp -s 202.194.0.0/24 --dport 21 -j ACCEPT
iptables -A INPUT -p tcp -s 202.195.0.0/24 --dport 21 -j ACCEPT
iptables -P INPUT DROP

回炉重造

没有-m state --state ESTABLISHED,RELATED -j ACCEPT，仅仅最后DROP，是不行的

ys_freedom

那位大哥能给个iptables的中文教程啊?

寂寞烈火

[quote]原帖由 "ys_freedom"]那位大哥能给个iptables的中文教程啊?[/quote 发表：

http://bbs.chinaunix.net/forum/viewtopic.php?t=513334