dd-wrt: VAP가 인터넷에 액세스하지 못하도록 방지

Question

첫 번째: -I머리에 삽입하는 것을 의미합니다. 즉,접두사. -A사용추가의마지막에. -A이렇게 하지 않으면 실제로 예상대로 작동하지 않을 수 있습니다.반품이전에 배치되었을 수 있는 다른 iptables 규칙을 검토하세요. 그럼 계속해서 -Ibut을 사용하고 나중에 줄 번호를 늘려서 삽입 위치를 선택하고 규칙을 일반적인 순서로 정렬해 보겠습니다.

귀하의 질문은 처리에 관한 것입니다.상태 저장규칙. conntrack은 NEW첫 번째 패킷으로 스트리밍합니다. 모든 응답 패킷은 새로운 것이 아니지만 이 ESTABLISHED상태를 시작합니다. 귀하의 규칙은 상태만 허용하므로 NEW아무 것도 제대로 작동하지 않습니다.

이 답변에서 차선책/중복 규칙이 발생할 수 있는 다른 모든 규칙이나 네트워크 설정을 알지 못하지만 관계없이 작동해야 합니다.

udp응답 및 관련(예: 오류 와 같은 도우미 모듈 icmp또는 도우미 모듈의 데이터 ) 패킷을 허용하는 일반 규칙을 ftp방향당 하나의 규칙으로 추가하는 것부터 시작하세요. 이러한 규칙은 정의에 따라 새 흐름이 항상 NEW(OR이 아님 ESTABLISHED) 별도의 흐름을 허용하지 않습니다. 따라서 상태 RELATED만 신경 쓰면 됩니다 ( 대체되므로 사용 가능한 경우 사용해야 합니다. 그렇지 않으면 해당 문자열을 모두 다시 교체하면 됩니다 ).NEW-m conntrack --ctstate-m state --state-m state --state

iptables -I FORWARD 1 -i br2 -o br0  -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -i br0 -o br2  -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

이제 새 흐름을 (만) 처리할 수 있습니다.
_{^{이전 규칙과 다음 규칙은 3가지 상태가 모두 포함된 하나의 규칙으로만 병합될 수 있거나 상태 확인이 전혀 불가능합니다. 왜냐하면 항상 이 3가지 상태 중 하나이기 때문입니다(예, 무효 제외)}}

iptables -I FORWARD 3 -i br0 -o br2 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 4 -i br2 -o br0 -d 192.168.1.38 -p tcp --dport 1883 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 5 -i br2 -j DROP

br0마지막 질문에 대해서는 인터페이스에서 인터넷을 사용할 수 없기 때문에 작성하신 내용이 인터넷 액세스를 허용하는지 의심스럽습니다 . 공용 IP를 사용하는 인터페이스에서 사용할 수 있습니다. 이는 인터페이스가 무엇인지 몰라도 작동해야 하며, 지정하지 마세요(이전 명령 다음에 실행하거나 그에 따라 번호를 다시 정렬).iptables-save그리고iptables-restore당신의 친구입니다):

iptables -I FORWARD 5 -o br2 -d 192.168.7.5 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 6 -i br2 -s 192.168.7.5 -m conntrack --ctstate NEW -j ACCEPT

그러나 질문에 추가된 누락된 정보는 확실히 도움이 될 것 입니다 ip -br link: ip -4 -br address; 그러면 보안을 저하시키지 않고 규칙이 더욱 일반화될 수 있습니다.ip routeip ruleiptables-save

고쳐 쓰다:macMAC 주소와 일치하도록 일치시킵니다.

IP 대신 MAC 주소를 일치시킬 수 있습니다. 이 정보는 다음에만 사용할 수 있습니다.원천그리고 이는 올바른 네트워크에서만 의미가 있습니다. 따라서 -o br2MAC을 일치시키는 데 사용할 수 없습니다. 위의 규칙 5를 보다 일반적인 규칙(보안상 여전히 괜찮음)으로 바꾸겠습니다. -R사용바꾸다위의 규칙 5와 6을 조정하세요(다시 말하지만 iptables-save매우 편리함).

iptables -R FORWARD 5 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -R FORWARD 6 -i br2 -m mac --mac-source 02:03:04:05:06:07 -m conntrack --ctstate NEW -j ACCEPT

마지막으로 다음을 얻습니다.

iptables -I FORWARD 1 -i br2 -o br0 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 2 -i br0 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 3 -i br0 -o br2 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 4 -d 192.168.1.38/32 -i br2 -o br0 -p tcp -m tcp --dport 1883 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 5 -o br2 -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
iptables -I FORWARD 6 -i br2 -m mac --mac-source 02:03:04:05:06:07 -m conntrack --ctstate NEW -j ACCEPT
iptables -I FORWARD 7 -i br2 -j DROP

다섯 번째는 두 번째 것의 상위 집합입니다. 왜냐하면 WAN 인터페이스가 아마도 규칙에 추가되어야 하기 때문이지만 잘 모르겠습니다.

Answer 1