一个关于iptables的疑惑

jxgzoyke

我想请问一下能不能用iptables来控制局域网中某些机器只能收发邮件，而不能浏览网页；有些呢则不受限制

dream3401

加上两条规则试试看
iptables -A INPUT -p tcp --dport 21 -s 192.168.1.x-192.168.1.y -j ACCEPT
iptables -A INPUT -p tcp --dport 110 -s 192.168.1.x-192.168.1.y -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -s 192.168.1.x-192.168.1.y -j REJECT

memory

楼上的，应该是FORWARD 链。

jxgzoyke

我试了一下都不行的

memory

如果ip范围192.168.1.16-31的只允许收发邮件，设置如下规则：
iptables -A FORWARD -p tcp --dport pop3 -s 192.168.1.16/28 -j ACCEPT
iptables -A FORWARD -p tcp --dport smtp -s 192.168.1.16/28 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.1.16/28 -j DROP

dream3401

请问一下为什么非要是FORWARD 呢？为什么不能是INPUT?谢谢

memory

控制局域网中某些机器只能收发邮件，而不能浏览网页。
很明显，linux应该是网关！因此，linux处理的是转发的数据，而不是到自己机器的数据。

dream3401

谢谢及时的回复，不过我想请问一下，转发的数据是不是先INPUT然后再OUTPUT呢？我的意思是不是所有的FORWARD包是不是要先INPUT到一个网卡，然后从另一个网卡OUTPUT 呢？请再回复，谢谢！

memory

错！input和output是以linux本机为目的和源地址的数据包经由的链。看看教程吧。

dream3401

谢谢,刚开始接触linux,很多概念都是混的,我会好好看教程的!