使用 iptables，匹配通过 IPSEC 隧道到达的数据包

Question

我在隧道模式下使用 IPSEC。

如何制定一条 iptables 规则，使其仅匹配通过 IPSEC 隧道到达的数据包（即后IPSEC 解密它们 -不是IPSEC 数据包到达时和解密前）。

关键在于拥有一个只能通过 IPSEC 访问且世界其他地方无法访问的端口。

Answer 1

您需要使用策略模块并指定ipsec策略来​​匹配此流量。例如，以下规则允许所有入站流量到 TCP 端口 12345。不要忘记规则顺序在 中很重要iptables，并且您可能还需要允许返回半数据包，具体取决于您当前的OUTPUT限制。

iptables -A INPUT -m policy --pol ipsec --dir in -p tcp --dport 12345 -j ACCEPT