如何允许IP范围xxx.xx.xxx.x/yy

Question

我想用iptables白化IP范围xxx.x.xx.x/yy。我已经测试了许多没有成功的变体，例如：

iptables -A INPUT -s xxx.xx.xxx.x/yy -j ACCEPT
iptables -A INPUT -i eth0 -s xxx.xx.xxx.x/yy -j ACCEPT
iptables -A INPUT -i eth1 -s xxx.xx.xxx.x/yy -j ACCEPT
iptables -A OUTPUT -o eth0 -d xxx.xx.xxx.x/yy -j ACCEPT
iptables -A OUTPUT -o eth1 -d xxx.xx.xxx.x/yy -j ACCEPT

我希望有人能帮我：)

Answer 1

我们开始吧

清除现有链

sudo iptables --flush
sudo iptables --delete-chain

允许回送

sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A OUTPUT -o lo -j ACCEPT

可选:允许所有ICMP

sudo iptables -A INPUT -p icmp --icmp-type any -j ACCEPT
sudo iptables -A OUTPUT -p icmp -j ACCEPT

允许已建立的连接

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

然后对来自xxx.xx.xxx.x/yy的所有传入通信量进行规则

sudo iptables -A INPUT -m state --state NEW -s xxx.xx.xxx.x/yy -j ACCEPT

拒绝接受上述规则

sudo iptables -A INPUT -j DROP

默认策略

sudo iptables -P INPUT DROP
sudo iptables -P OUTPUT ACCEPT

保存

sudo service iptables save

试试看。

Answer 2

如果您想要白名单前缀，我假设您有一个规则匹配更广泛的范围(可能0.0.0/0)，拒绝所有的流量。您确定该规则没有出现在您的任何白名单中吗？iptables --line-numbers --list -n的输出是什么？