如何使用iptables将接口限制在某些IP和端口？

Question

我想限制我的基于Linux的路由器上的接口（eth2）到某些IP和端口。 eth1主要是不受限制的。

• 该路由器确实是DHCP，所以我想允许这些。
• 路由器做NATing。
• 路由器没有NTP，所以我想允许这个任何IP。
• 路由器没有DNS，所以我想允许这个任何IP。
• 的eth1接口背后的设备不会对谈话的互联网
• 任何限制接口ETH2后面的设备，应只允许谈某些互联网IP地址

我的配置目前看起来像这样的：

iptables -F 
iptables -X 
iptables -t nat -F 
# eth1 is 192.168.1.0/24, eth2 is 192.168.2.0/24, so I forward 192.168.0.0/16 
iptables -A FORWARD -o ppp0 -s 192.168.0.0/16 -m conntrack --ctstate NEW -j ACCEPT 
iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT 
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE 
sysctl -w net.ipv4.ip_forward=1 

有了这些规则，一切工作正常，但是，即使DHCP失败

# restrict eth2 
iptables -i eth2 -A INPUT -j DROP 
iptables -i eth2 -A FORWARD -j DROP 
iptables -i eth2 -A INPUT -p udp --dport 67:68 --sport 67:68 -j ACCEPT 
iptables -i eth2 -A INPUT -p udp --dport 53 -j ACCEPT 
iptables -i eth2 -A INPUT -p tcp --dport 53 -j ACCEPT 
iptables -i eth2 -A INPUT -p tcp --dport 123 -j ACCEPT 
iptables -i eth2 -A FORWARD -p udp --dport 53 -j ACCEPT 
iptables -i eth2 -A FORWARD -p tcp --dport 53 -j ACCEPT 
iptables -i eth2 -A FORWARD -p tcp --dport 123 -j ACCEPT 
iptables -A FORWARD -i eth2 --dst 1.2.3.4 -j ACCEPT 
iptables -A FORWARD -i eth2 --src 1.2.3.4 -j ACCEPT 
iptables -A FORWARD -i eth2 --dst 2.3.4.5 -j ACCEPT 
iptables -A FORWARD -i eth2 --src 2.3.4.5 -j ACCEPT 

我的错误在哪里？

Answer 1

如果带有“-j DROP”的语句早于配置，他们没有机会使用“-j ACCEPT”处理语句。将它们移动到最后。