IPtables阻止范围有例外

Question

我的网络中有一台服务器，除了一台或两台主机外，我想要将出站流量DROP到LAN中的任何其他主机。例如。我想阻止出站流量到123.123.1.1/16，除了123.123.10.10和123.123.20.20。我怎么能在IPTABLES中做到这一点？

我尝试过这样的事情：

sudo iptables -D OUTPUT -d 123.123.1.1/16 ! -d 123.123.10.10 -j DROP

但是我收到错误，-d运算符只能使用一次。

Answer 1

在ACCEPT之前执行DROP。

iptables -A OUTPUT -d 123.123.10.10 -j ACCEPT
iptables -A OUTPUT -d 123.123.1.1/16 -j DROP

这样一旦数据包与第一个规则匹配，它甚至不会针对第二个规则进行测试。