[问题求助]如何利用iptables指定内网某些ip地址可以上网??? [复制链接]

环境：RH 9，
固定外网.ip地址1.2.3.4.
内网i.p：19.2.168.0.0/255.255.255.0.
iptables设置：
>;>;
echo 1 >; /proc/sys/net/ipv4/ip_.forwa.rd(广告)
modprob.e iptable_nat电影
modprobe. ip_conntrack健康
modprobe ip_conntrack._ftp          婚庆

iptables -.F INPUT投资
iptables -F FORWAR.D[成人用品]
i.ptables. -P FORWARD ACCEPT服务器
iptables -A POSTROUTING .-t nat -s 192.168.0.0/24 -o eth1 -j SNAT -.-.to-source 1.2.3.4.
>;>;End


通过iptables，内网计算机可以共享.上网<性病>

问题：如何设置ipt.ables，使得内网只能某几个计算机.上网？教育

QUOTE:原帖由 "love4life" 发表：
环境：RH 9，
固定外网ip地址1.2.3.4
内网ip：192.168.0.0/255.255.255.0
iptables设置：
>;>;
echo 1 >; /proc/sys/net/ipv4/ip_forward
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_co..........



iptables -I FORWARD -s 192.168.0.97 -j DROP
iptables -I FORWARD -s 192.168.0.97 -p tcp --dport 80 -j ACCEPT
iptables -I FORWARD -s 192.168.0.97 -m state --state RELATED,ESTABLISHED -j ACCEPT
看上面红色部分！这样192.168.0.97就只能看网页了！其它如此法泡制

iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 1.2.3.4

========>;

iptables -A POSTROUTING -t nat -s IP1 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP2 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP3 -o eth1 -j SNAT --to-source 1.2.3.4
.........
.........
iptables -A POSTROUTING -t nat -s IPn -o eth1 -j SNAT --to-source 1.2.3.4

QUOTE:原帖由 "platinum" 发表：
iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 1.2.3.4

========>;

iptables -A POSTROUTING -t nat -s IP1 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTI..........


请问，他上面已经通过了他内网的所有ip！！你为何还要单独开？？？？还有就是他的默认策略就是开的！你这样再开还有何意义？不过你这样的方法也是完全行的！嘻嘻！！

请注意我的“========>;”，是“转变为”的意思




QUOTE:iptables -A POSTROUTING -t nat -s 192.168.0.0/24 -o eth1 -j SNAT --to-source 1.2.3.4

==转变为==>;

iptables -A POSTROUTING -t nat -s IP1 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP2 -o eth1 -j SNAT --to-source 1.2.3.4
iptables -A POSTROUTING -t nat -s IP3 -o eth1 -j SNAT --to-source 1.2.3.4
.........
.........
iptables -A POSTROUTING -t nat -s IPn -o eth1 -j SNAT --to-source 1.2.3.4

这样是不是好理解了？

QUOTE:iptables -I FORWARD -s 192.168.0.97 -m state --state RELATED,ESTABLISHED -j ACCEPT


这个有什么用?192.168.0.97不需要被外面访问啊?

这个运用到了一个 iptables 中“状态检测”功能，与“需不需要被外面访问”无关

但是这个状态ESTABLISHED,又是192.168.0.97发起的不是只有192.168.0.97被访问才会出现吗?难道跟路由器的ACLs不一样?

呵呵,不好意思,理解错了

[quote]原帖由 "bingosek"]但是这个状态ESTABLISHED,又是192.168.0.97发起的不是只有192.168.0.97被访问才会出现吗?难道跟路由器的ACLs不一样?[/quote 发表：

嗯，不太一样，这个可以基于包状态处理，可以实现单向控制
记得华为的交换机在 acl 里有个 established 参数（针对 tcp 协议的），其实是一个意思