Iptable不会丢弃传入或传出的数据包

Question

我正在使用CentOS。

我在IPTable测试环境中完成了以下操作。 我已经使用了所有规则

    iptables -F 

然后我添加了以下规则。

    iptables -I INPUT -p all -j ACCEPT

然后基于观察，我添加了这个规则;

    iptables -A INPUT -s 192.168.2.50 -j DROP

我跑了

    service iptable save

之后我试图ping阻止的ip（192.168.2.50）。 我仍然可以ping它，被阻止的IP可以ping我。

我想阻止任何阻止IP的连接。

这是iptables -L的输出

    Chain INPUT (policy DROP) target prot opt source destination

    ACCEPT all -- anywhere anywhere
    DROP all -- 192.168.2.50 anywhere

    Chain FORWARD (policy DROP) target prot opt source destination

    Chain OUTPUT (policy ACCEPT) target prot opt source destination

    Chain icmp_packets (0 references) target prot opt source destination

    Chain tcp_packets (0 references) target prot opt source destination

请帮忙..谢谢..

Answer 1

Iptables使用规则链。 在链中，规则从第一个（从顶部）到最后一个按顺序应用于数据包。 你的第一条规则ACCEPT all -- anywhere anywhere允许所有通过链的数据包被接受，因此它们不会进一步下一个应该删除所有数据的规则。 因此，如果您只想将所有流量丢弃到您的机器上，只需使用iptables -D INPUT 1删除您的第一条规则，该规则将删除输入链中的第一条规则，只保留drop all规则。 然后使用iptables -A INPUT -p all -j ACCEPT再次添加accept all规则，以便允许所有不是来自被阻止的ip的数据包通过。

Answer 2

我想你应该在iptables -I INPUT -p all -j ACCEPT之前做iptables -A INPUT -s 192.168.2.50 -j DROP 。