У меня есть пакеты из 2 подсетей, идущих в мой брандмауэр eth1:
10.111.12.0/24 и 10.10.100.0/24
Я установил такие правила iptables:
iptables -A INPUT -i eth1 ! -s 10.111.12.0/24 -j DROP
iptables -A INPUT -i eth1 ! -s 10.10.100.0/24 -j DROP
Но - первое правило не позволяет проверить второе, потому что 10.10.100.0/24 НЕ является 10.111.12.0/24 и соответствует первому правилу. Как это исправить?
Цепочка здесь была бы полезным методом. Цепочка действует как подпрограмма или функция. RETURN просто означает, что управление этим пакетом будет возвращено в предыдущую цепочку, и правила будут продолжать оцениваться.
# create a new chain
iptables -t filter -N in_validnet
# all incoming packets on eth1 are evaluated by the chain
iptables -t filter -A INPUT -i eth1 -j in_validnet
# packets from these networks are returned for further evaluation
iptables -A in_validnet -s 10.111.12.0/24 -j RETURN
iptables -A in_validnet -s 10.10.100.0/24 -j RETURN
# everything else gets dropped
iptables -A in_validnet -j DROP
Самый простой способ сделать это - отметить разрешенные пакеты, а затем отбросить все пакеты, которые не отмечены:
iptables -t mangle -A PREROUTING -i eth1 -s 10.111.12.0/24 -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -i eth1 -s 10.10.100.0/24 -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -i eth1 -m mark ! --mark 1 -j DROP
Вы должны учитывать, что могут быть другие пакеты, которые вам нужно / вы хотите пройти.