原理分析
要想设备只能访问局域网，有两个方案
1.使用iptables匹配设备MAC地址为XXXXXXXXXXX且目的地址为公网地址的设备若匹配则拒绝
2.使用iptables匹配设备MAC地址为XXXXXXXXXXX且目的地址为局域网地址的设备若匹配接受，在此规则下面添加该MAC地址所有包都丢弃
由于公网IP段不明确，因此我们这里采取第二种方案
局域网IP段
10.0.0.1/16 10.0.0.1-10.0.255.255 172.16.0.0/12 172.16.0.0-172.31.255.255 192.168.0.0/16 192.168.0.0-192.168.255.255123
详细命令
iptables -I FORWARD -m mac --mac-source 00:0C:29:93:6C:DD -j DROP iptables -I FORWARD -d 192.168.0.0/16 -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT iptables -I FORWARD -d 172.16.0.0/12 -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT iptables -I FORWARD -d 10.0.0.0/8 -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT
命令详解
以上命令1、2、3、4的顺序为输入命令的顺序，因为iptables最后插入的命令为最顶端，而过滤的顺序为从iptables的第一条往下匹配，如果有一条匹配成功则不再继续匹配，因此iptables -I FORWARD -m mac –mac-source 00:0C:29:93:6C:DD -j DROP这条命令一定要最先插入，因为要保证该条规则为最后匹配，如果该规则先匹配的话那么该MAC地址所有的包都将被丢弃，所有网络均不可访问
本站的文章和资源来自互联网或者站长的原创，按照 CC BY -NC -SA 3.0 CN协议发布和共享，转载或引用本站文章应遵循相同协议。如果有侵犯版权的资 源请尽快联系站长，我们会在24h内删除有争议的资源。欢迎大家多多交流，期待共同学习进步。
