linux - IPtables block 范围异常

Question

我的网络中有一台服务器，我想为它丢弃到 LAN 中任何其他主机的出站流量，除了一个或两个单独的主机。例如。我想阻止到 123.123.1.1/16 的出站流量，但 123.123.10.10 和 123.123.20.20 除外。我如何在 IPTABLES 中执行此操作？

我试过这样的:

sudo iptables -D OUTPUT -d 123.123.1.1/16 ! -d 123.123.10.10 -j DROP

但是我得到一个错误，-d 运算符只能使用一次。

Answer 1

在 DROP 之前执行 ACCEPT。

iptables -A OUTPUT -d 123.123.10.10 -j ACCEPT
iptables -A OUTPUT -d 123.123.1.1/16 -j DROP

这样，一旦数据包匹配第一条规则，它甚至不会针对第二条规则进行测试。