Ограничьте диапазон IP-адресов для определенных портов, используя iptables

Question

Я использую iptables v1.4.21 на Linux. Я пытаюсь ограничить трафик для клиентов DHCP 10.0.0.50-10.0.0.100 . Я хотел бы, чтобы они имели доступ только к портам 53,67,80,443,9091,32400 используя TCP и UDP . Но я не могу найти то, что работает.

Answer 1

Сочетание этих правил сделает это:

iptables -A INPUT -i eth0 -m iprange --src-range 10.0.0.50-10.0.0.100  -p tcp --match multiport --dports 53,67,80,443,9091,32400 -j ACCEPT
iptables -A INPUT -i eth0 -m iprange --src-range 10.0.0.50-10.0.0.100  -p udp --match multiport --dports 53,67,80,443,9091,32400 -j ACCEPT
 iptables -A INPUT -i eth0 -m iprange --src-range 10.0.0.50-10.0.0.100   -j DROP

Ничего умного в этом нет: два правила для UDP и TCP соответственно разрешают трафик. Модуль iprange позволяет указывать диапазон IP-адресов, к которым применяется правило, а --match multiports позволяет сопоставить any из списка портов. Последнее правило проверяет пакеты, которые не удовлетворяют ни одному из предыдущих двух критериев, отбрасывая их согласно вашему запросу.