белый список iptables не работает, а черный

Question

Разрешить переадресацию для всех и блокировать работу ips:

iptables -P FORWARD ACCEPT
iptables -A FORWARD -m set --match-set denied_ips src,dst -j REJECT

Но отказ от переадресации для всех и разрешение набора ips не работает:

iptables -P FORWARD DROP
iptables -A FORWARD -m set --match-set allowed_ips src,dst -j ACCEPT

Что с этим?

редактировать: для пояснения вот мои правила. Я хочу, чтобы FORWARD отбрасывал все, что не в allowed_ips .

#iptables -S
-P INPUT ACCEPT
-P FORWARD DROP
-P OUTPUT ACCEPT
-A FORWARD -m set --match-set allowed_ips src,dst -j ACCEPT

Answer 1

Я нашел ответ: получается

iptables -A FORWARD -m set --match-set allowed_ips src,dst -j ACCEPT

соответствует только когда оба src И dst в allowed_ips . Я ошибочно думал, что это будет соответствовать, когда src или dst находятся в allowed_ips .