IPTABLES 阻止除选定网络之外的所有传出连接

Question

有一台防火墙/网关机器，具有 eth0 公共网络和 eth1 专用网络 ( 192.168.1.0)。

我想阻止私人用户（eth1）的所有输出连接，除了几个网络，例如：123.123.123.0/24等91.12.31.0/24，因为它们位于我们的城市网络中。

这里有很多关于 iptables 的问题，但我找不到解决这个问题的方法。

某些用户（例如 192.168.1.10）也可能不受这些网络的限制。

如果我做：

IPTABLES -P OUTPUT DROP
IPTABLES -A OUTPUT -d 123.123.123.0/24 -s 192.168.1.51 -j ACCEPT
...that would make me adding rules per user multiplied by number of networks

那么有没有办法对这些城市网络进行分组呢？

Answer 1

在我看来，你想要的是 ipsets。这里是人类可以阅读的链接。对于安装，如果您使用的是 Fedora，请查看这 如果在 Ubuntu 上看这。