如何使用 iptables 只阻止某些传出 ip 连接

Question

(Centos 5.5) 阻止 xxx.xxx.xxx.xxx：

# iptables -A OUTPUT -j DROP -d xxx.xxx.xxx.xxx

然后通过以下方式验证：

# iptables -L OUTPUT --line-numbers

Chain OUTPUT (policy DROP)
num  target     prot opt source               destination
1    ACCEPT     all  --  anywhere             anywhere
2    ACCEPT     all  --  anywhere             anywhere            state NEW,RELATED,ESTABLISHED
3    DROP       all  --  anywhere             xxx.xxx.xxx.xxx

这不起作用；我做错了什么？

Answer 1

ACCEPT您在表中首先具有从任何地方到任何地方的位置，因此匹配并且DROP永远不会达到您的规则。

在这种情况下，使用-I而不是-A在表的头部插入规则。

请注意，编写脚本时通常最好使用-Aas 规则，然后按照脚本中列出的顺序添加规则。