dd-wrt：VAPがインターネットにアクセスできないようにする

Question

まず：-I頭に挿入することを意味します。つまり、プレフィックス。-A使用追加最後に。-Aそうしないと、実際に期待どおりに機能しなくなる可能性があります。返品以前に配置された可能性がある他のiptablesルールを確認してください。それでは、-Ibutを使用し、後で行番号を増やして挿入位置を選択し、規則を一般的な順序で並べ替えてみましょう。

あなたの質問は処理に関するものです。状態を保存ルール。 conntrack はNEW最初のパケットにストリーミングします。すべての応答パケットは新しいものではありませんが、このESTABLISHED状態を開始します。あなたのルールはステータスのみを許可するため、NEW何も正しく機能しません。

この回答では、次善策/重複ルールが発生する可能性がある他のすべてのルールやネットワーク設定を知らないが、関係なく動作するはずです。

udp応答と関連（エラーなどのヘルパーモジュールicmpまたはヘルパーモジュールからのデータ）パケットを許可する一般的なルールをftp方向ごとに1つのルールとして追加することから始めます。これらのルールは、定義に従って新しいフローが常にNEW（ORではないESTABLISHED）別々のフローを許可するわけではありません。したがって、状態RELATEDだけを気にする必要があります（置換されているので、利用可能な場合は使用する必要があります。そうでない場合は、その文字列をすべて置き換えます）。NEW-m conntrack --ctstate-m state --state-m state --state

iptables -I FORWARD 1 -i br2 -o br0  -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -i br0 -o br2  -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

これで、新しいフローのみを処理できます。
_{^{前のルールと次のルールは、3つの状態の両方を含む1つのルールにのみマージすることができます。なぜなら、常にこの3つの状態の1つであるからです（例、無効を除く）}}

iptables -I FORWARD 3 -i br0 -o br2 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 4 -i br2 -o br0 -d 192.168.1.38 -p tcp --dport 1883 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 5 -i br2 -j DROP

br0最後の質問については、インターフェイスでインターネットが利用できないため、作成した内容がインターネットアクセスを許可しているかどうか疑問に思われます。パブリックIPを使用するインターフェイスで使用できます。これは、インターフェイスが何であるかわからなくても機能する必要があり、指定しないでください（前のコマンドの後に実行するか、それに応じて番号を並べ替えます）。iptables-saveそしてiptables-restoreあなたの友人です）:

iptables -I FORWARD 5 -o br2 -d 192.168.7.5 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 6 -i br2 -s 192.168.7.5 -m conntrack --ctstate NEW -j ACCEPT

しかし、質問に追加された欠落情報は間違いなく役に立ちますip -br link。ip -4 -br addressこれにより、セキュリティを低下させることなくルールがより一般化される可能性があります。ip routeip ruleiptables-save

修正する:macMACアドレスと一致するように一致させます。

IPの代わりにMACアドレスを一致させることができます。この情報は次の場合にのみ使用できます。源泉そしてこれは正しいネットワークでのみ意味があります。したがって、-o br2MAC を一致させるために使用することはできません。上記の規則5をより一般的な規則（セキュリティ上まだ大丈夫）に変更します。-R使用変える上記の規則5と6を調整してください（やはりiptables-save非常に便利です）。

iptables -R FORWARD 5 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -R FORWARD 6 -i br2 -m mac --mac-source 02:03:04:05:06:07 -m conntrack --ctstate NEW -j ACCEPT

最後に、次のようになります。

iptables -I FORWARD 1 -i br2 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -i br0 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 3 -i br0 -o br2 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 4 -d 192.168.1.38/32 -i br2 -o br0 -p tcp -m tcp --dport 1883 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 5 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 6 -i br2 -m mac --mac-source 02:03:04:05:06:07 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 7 -i br2 -j DROP

5番目は2番目のものの親セットです。なぜなら、WANインターフェイスはおそらくルールに追加されなければならないからです。

Answer 1