openwrt防火墙-阻止一组来自因特网接入的ip地址

Question

我正在运行OpenWRT态度调整r33556 / LuCI中继(trunk+svn9325)在我的WNDR3800上。

我想将我的防火墙配置为：

1. 只允许特定范围的IP地址访问互联网，就像我的静态IP。
2. 在我的DHCP IP范围内也阻止IP从internet访问，并重定向到本地IP web服务器。

Answer 1

有时例子(或缺少例子)没有得到所需的解释，所以我也花了一些时间。这个例子是我实现这一目标的原因：https://serverfault.com/a/675605/412955

答案告诉安装ipset，除了iptables程序之外，这可以通过LEDE / OpenWRT的网络接口完成。然后创建一个名为黑名单(ipset create blacklist hash:ip hashsize 4096)的集合，告诉iptables与该黑名单(iptables -I INPUT -m set --match-set blacklist src -j DROP && iptables -I FORWARD -m set --match-set blacklist src -j DROP)匹配，然后将ip地址(Es)添加到要阻止的黑名单集(ipset add blacklist 8.8.8.8)中。