[问题求助]iptables设置伪装后，FORWARD不起作用 [复制链接]

我.的LINUX上设置了透明代理和伪装,如下：    健康
iptables .-A PREROUTING -s 192.168.0.0/25.5.255.255.0 -p tcp -m tcp --dport 80 -j RED.IRECT --to-ports 3128              乙肝
iptables -A POSTROUT.ING -s 192.168.0.0/255.255.255..0 -j MASQUERADE           女人

之后再加入：
ipt.ables -P FORWARD DROP(        游戏          )
iptables -A FORWARD -s 192.16.8.0.100 -m state --state NEW,RELATED,EST.A.BLISHED -j ACCEPT             汽车
ip为1.92..168.0.100的PC就不能上网了。--------------彩票
如果把最后一条改成：
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -.j ACCE.PT              乙肝
就能上网了，不知道.为什么，加了伪装后，就不能.限制IP了吗？学习

是不是跟iptables规则添加顺序有关系阿

顺序应该没有问题吧。找了半天还是不知道原因在哪里，望高手指点一下。

QUOTE:之后再加入：
iptables -P FORWARD DROP
iptables -A FORWARD -s 192.168.0.100 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
ip为192.168.0.100的PC就不能上网了。
如果把最后一条改成：
-A FORWARD -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
就能上网了，不知道为什么，加了伪装后，就不能限制IP了吗？

逻辑问题
NEW + RELATED + ESTABLISHED ACCEPT = INVALID DROP(default ACCEPT)
你改最后一句，等同于把 -P FORWARD DROP 改成了 -P FORWARD ACCEPT

好好看看 state 的含义吧，你对其中的各个状态很含糊

QUOTE:原帖由 platinum 于 2009-8-4 15:31 发表

逻辑问题
NEW + RELATED + ESTABLISHED ACCEPT = INVALID DROP(default ACCEPT)
你改最后一句，等同于把 -P FORWARD DROP 改成了 -P FORWARD ACCEPT

好好看看 state 的含义吧，你对其中的各个状态很含糊



谢谢你的回答，我知道最后一条改完后相当于全部ACCEPT了。但如果写成iptables -A FORWARD -s 192.168.0.100 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 。源是192.168.0.100的电脑就通不过防火墙，这又是为什么？！

QUOTE:原帖由 coldcoffee 于 2009-8-4 17:39 发表



谢谢你的回答，我知道最后一条改完后相当于全部ACCEPT了。但如果写成iptables -A FORWARD -s 192.168.0.100 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT 。源是192.168.0.100的电脑就通不过防火 ...

你只允许 192.168.0.100 的包出去，回来的呢？
或许你会说“我加了 ESTABLISHED 和 RELATED 啊”
但是你允许的方向恰好反了，你对 state 的状态不理解，导致 NEW 和 E/R 一起用，等同无效

iptables -A FORWARD -s 192.168.0.100 -m state --state NEW,RELATED,ESTABLISHED -j ACCEPT
等同于
iptables -A FORWARD -s 192.168.0.100 -j ACCEPT

[ 本帖最后由 platinum 于 2009-8-4 17:47 编辑 ]

QUOTE:原帖由 platinum 于 2009-8-4 17:45 发表

你只允许 192.168.0.100 的包出去，回来的呢？
或许你会说“我加了 ESTABLISHED 和 RELATED 啊”
但是你允许的方向恰好反了，你对 state 的状态不理解，导致 NEW 和 E/R 一起用，等同无效

iptables -A F ...


不太明白，总之现在192.168.0.100是出不去，能告诉应该怎么定义，192.168.0.100就可以出去吗？

他说你允许的方向反了，要允许ESTABLISHED 和 RELATED的包回来
应该是这个意思吧，不知道我理解错了没

具体怎么做，还请指点一下，知道你很厉害，希望高手们不要摆架子。

iptables -P FORWARD ACCEPT
iptables -F
什么都不要阻拦，自然就能通了

如果要问为什么，自己去看文档吧