[问题求助][RedHat] 关于iptables和虚拟机的问题，重问!悬赏全部处女分 [复制链接]

在linux server上用VMWare做了.几个虚拟机，虚拟机网络设置为NAT,虚拟机可以正常上网，现在想用iptables控制虚拟机的访.问。 健康

我做了一下规则，阻止DROP全部FORWARD.，为.什么虚拟机还是可以上网呢？？.
Chain FO.RWARD(policy. DROP) .
tar.get prot opt sourc.e destination .

然后，我把规则加到nat表
Chain PREROUT.ING (policy AC.CEPT)教育
target pr..ot opt source destination 投资
DROP     .  all  --  anywhere             mh-in-f10.4.google.com 投资
还.是能访问mh-in-f104.goo.gle.com            女人

然后。。。
Chain OUTPUT (policy ACCE.P.T)虚拟主机
target prot opt. source destinati.on 学习
DRO.P       all  --.  anywhere             mh-in-f104.google.com              电子
现.在所有虚拟机不能访问mh-in-f104.goo.gle.com了。健康

但是如果我只限制一台虚拟.机不能访问             汽车
Chain O.UTPUT (policy ACCEPT).            杀毒
target pro.t opt source destinatio.n .
D.ROP       all  --  172.16.227.131             mh-in-f104..google.com               乙肝
就没有效果！

如果不是虚拟机，是一般的.客户端机器应该怎设置IPTABLE呢.？电影

[ 本帖最后由 steveclark 于 2008-4-29 14:..38 编辑 ]              乙肝


最佳答案platinum
http://upload.bbs.csuboy.com/Mon_1004/126_7049_c2515fb4e40125e.gif[/img].

QUOTE:原帖由 steveclark 于 2008-4-29 13:59 发表 http://upload.bbs.csuboy.com/Mon_1004/126_7049_6cff255c8b048b0.gif[/img]           鲜花


iptables -I FORWARD -j DROP  试过不行。 还是.可以访问外网。 虚拟机的网络是nat设定的. .

OK.，那就检查你的网络拓扑，你的虚拟机上网的数据流没有经过你的 .Linux 数据匹配框架.

QUOTE:原帖由 steveclark 于 2008-4-29 13:59 发表


iptables -I FORWARD -j DROP  试过不行。 还是可以访问外网。 虚拟机的网络是nat设定的

OK，那就检查你的网络拓扑，你的虚拟机上网的数据流没有经过你的 Linux 数据匹配框架

我现在是想让不同的虚拟机可以访问不同的网站，也就是说不同的虚拟机访问权限不同

2 小时玩转 iptables 讲义企业版 v1.5.4 学习中。。。

感觉上虚拟机应该是和普通的服务器客户端机器差不多的

如果他们的数据流经过你的 Linux，那么只需 iptables -I FORWARD -j DROP 即可
具体用法见置顶

QUOTE:原帖由 platinum 于 2008-4-29 13:40 发表
如果他们的数据流经过你的 Linux，那么只需 iptables -I FORWARD -j DROP 即可
具体用法见置顶


iptables -I FORWARD -j DROP  试过不行。 还是可以访问外网。 虚拟机的网络是nat设定的

QUOTE:原帖由 platinum 于 2008-4-29 13:40 发表
如果他们的数据流经过你的 Linux，那么只需 iptables -I FORWARD -j DROP 即可
具体用法见置顶


iptables -I FORWARD -j DROP 不好使。

iptables -t -nat -I PREROUTING -j DROP 也不灵

但是iptables -t -nat -I OUTUT -j DROP 可以。。。说明应该是走nat的

iptables -t -nat -I OUTUT -d www.google.com -j DROP 也有效 所有的虚拟机不能访问google但是其他地方可以

iptables -t -nat -I OUTUT -s 某个虚拟机IP -d www.google.com -j DROP无效。该虚拟机还是可以访问google.

[ 本帖最后由 steveclark 于 2008-4-29 14:41 编辑 ]

OUTPUT(NAT)
OUTPUT
POSTROUTING
在这3个链 DROP 应该可以实现你的需求。

需要将你的linux server做为虚拟机的网关，iptables才起作用