如何利用iptables指定内网某些ip地址可以上网???

love4life

环境：RH 9，
固定外网ip地址1.2.3.4
内网ip：192.168.0.0/255.255.255.0
iptables设置：
>;>;
echo 1 >; /proc/sys/net/ipv4/ip_forward
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp

iptables -F INPUT
iptables -F FORWARD
iptables -P FORWARD ACCEPT
iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 1.2.3.4
>;>;End


通过iptables，内网计算机可以共享上网

问题：如何设置iptables，使得内网只能某几个计算机上网？

枫影谁用了

原帖由 "love4life" 发表：
环境：RH 9，
固定外网ip地址1.2.3.4
内网ip：192.168.0.0/255.255.255.0
iptables设置：
>;>;
echo 1 >; /proc/sys/net/ipv4/ip_forward
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_co..........

iptables -I FORWARD -s 192.168.0.97 -j DROP
iptables -I FORWARD -s 192.168.0.97 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -s 192.168.0.97 -m state --state RELATED,ESTABLISHED -j ACCEPT
看上面红色部分！这样192.168.0.97就只能看网页了！其它如此法泡制

platinum

iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 1.2.3.4

========>;

iptables -A POSTROUTING -t nat -s IP1 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP2 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP3 -o eth1 -j SNAT --to-source 1.2.3.4
.........
.........
iptables -A POSTROUTING -t nat -s IPn -o eth1 -j SNAT --to-source 1.2.3.4

枫影谁用了

原帖由 "platinum" 发表：
iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 1.2.3.4

========>;

iptables -A POSTROUTING -t nat -s IP1 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTI..........

请问，他上面已经通过了他内网的所有ip！！你为何还要单独开？？？？还有就是他的默认策略就是开的！你这样再开还有何意义？不过你这样的方法也是完全行的！嘻嘻！！

platinum

请注意我的“========>;”，是“转变为”的意思

iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 1.2.3.4

==转变为==>;

iptables -A POSTROUTING -t nat -s IP1 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP2 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP3 -o eth1 -j SNAT --to-source 1.2.3.4
.........
.........
iptables -A POSTROUTING -t nat -s IPn -o eth1 -j SNAT --to-source 1.2.3.4

这样是不是好理解了？

bingosek

iptables -I FORWARD -s 192.168.0.97 -m state --state RELATED,ESTABLISHED -j ACCEPT

这个有什么用?192.168.0.97不需要被外面访问啊?

platinum

这个运用到了一个 iptables 中“状态检测”功能，与“需不需要被外面访问”无关

bingosek

但是这个状态ESTABLISHED,又是192.168.0.97发起的不是只有192.168.0.97被访问才会出现吗?难道跟路由器的ACLs不一样?

bingosek

呵呵,不好意思,理解错了

platinum

[quote]原帖由 "bingosek"]但是这个状态ESTABLISHED,又是192.168.0.97发起的不是只有192.168.0.97被访问才会出现吗?难道跟路由器的ACLs不一样?[/quote 发表：

嗯，不太一样，这个可以基于包状态处理，可以实现单向控制
记得华为的交换机在 acl 里有个 established 参数（针对 tcp 协议的），其实是一个意思