通过 mac 地址阻止 https。Squid 或 iptables

Question 1

问题在于 MAC 过滤规则是在接受后才进行处理的。因此永远不会到达。

您需要做的是改变这两行的顺序：

  -A FORWARD -i eth1.10 -o eth0 -j ACCEPT 
  -A FORWARD -i eth1.10 -p tcp -m tcp --dport 443 -m mac --mac-source 00:60:DD:44:85:43 -j DROP

因此它们变成：

-A FORWARD -i eth1.10 -p tcp -m tcp --dport 443 -m mac --mac-source 00:60:DD:44:85:43 -j DROP
-A FORWARD -i eth1.10 -o eth0 -j ACCEPT

如果你使用 iptables-save 格式，你只需要编辑 iptables-save 的输出并运行 iptables-restore 并传入该文件。即

sudo iptables-save > rules

... edit 'rules'

sudo iptables-restore < rules

或者，只需编辑您用来创建规则的脚本/生成器。

注意：由于您正在过滤内部地址，我会使用 REJECT 而不是 DROP，否则用户可能不会意识到他们已被阻止，并想知道为什么他们的浏览器会在那里停留很长时间。

Answer

问题在于 MAC 过滤规则是在接受后才进行处理的。因此永远不会到达。

您需要做的是改变这两行的顺序：

  -A FORWARD -i eth1.10 -o eth0 -j ACCEPT 
  -A FORWARD -i eth1.10 -p tcp -m tcp --dport 443 -m mac --mac-source 00:60:DD:44:85:43 -j DROP

因此它们变成：

-A FORWARD -i eth1.10 -p tcp -m tcp --dport 443 -m mac --mac-source 00:60:DD:44:85:43 -j DROP
-A FORWARD -i eth1.10 -o eth0 -j ACCEPT

如果你使用 iptables-save 格式，你只需要编辑 iptables-save 的输出并运行 iptables-restore 并传入该文件。即

sudo iptables-save > rules

... edit 'rules'

sudo iptables-restore < rules

或者，只需编辑您用来创建规则的脚本/生成器。

注意：由于您正在过滤内部地址，我会使用 REJECT 而不是 DROP，否则用户可能不会意识到他们已被阻止，并想知道为什么他们的浏览器会在那里停留很长时间。

Question 2

我相信您实际上需要将 MAC 过滤器放入 PREROUTING 链中，因为 iptables 在内部重写了某些字段。

从当网桥和 netfilter 代码在内核中编译时，进行路由的链式遍历

这里解释的副作用发生在内核中启用 netfilter 代码、路由 IP 数据包并且该数据包的出站设备是逻辑桥接设备时。在 iptables FORWARD 链中过滤 MAC 源时会遇到副作用。从前面的部分应该可以清楚看出，iptables FORWARD 链的遍历被推迟到数据包进入桥接代码时。这样做是为了让我们能够在桥接端口出站设备上进行过滤。这对 MAC 源地址有副作用，因为 IP 代码会将 MAC 源地址更改为桥接设备的 MAC 地址。

Answer

我相信您实际上需要将 MAC 过滤器放入 PREROUTING 链中，因为 iptables 在内部重写了某些字段。

从当网桥和 netfilter 代码在内核中编译时，进行路由的链式遍历

这里解释的副作用发生在内核中启用 netfilter 代码、路由 IP 数据包并且该数据包的出站设备是逻辑桥接设备时。在 iptables FORWARD 链中过滤 MAC 源时会遇到副作用。从前面的部分应该可以清楚看出，iptables FORWARD 链的遍历被推迟到数据包进入桥接代码时。这样做是为了让我们能够在桥接端口出站设备上进行过滤。这对 MAC 源地址有副作用，因为 IP 代码会将 MAC 源地址更改为桥接设备的 MAC 地址。

通过 mac 地址阻止 https。Squid 或 iptables

更新

TCPDUMP（截断）

接口详细信息

答案1

答案2

相关内容