IPTABLES疑問

非洲烏龜

[root@localhost sysconfig]# iptables -t filter -A INPUT -p tcp --dport 22 -s ! 192.168.1.177 -j ACCEPT
[root@localhost sysconfig]# iptables -L -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
ACCEPT     tcp  -- !192.168.1.177        0.0.0.0/0           tcp dpt:22

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination
[root@localhost sysconfig]# /etc/init.d/iptables save
Saving firewall rules to /etc/sysconfig/iptables:          [  OK  ]
[root@localhost sysconfig]# /etc/init.d/iptables restart
Flushing firewall rules:                                   [  OK  ]
Setting chains to policy ACCEPT: filter                    [  OK  ]
Unloading iptables modules:                                [  OK  ]
Applying iptables firewall rules:                          [  OK  ]
Loading additional iptables modules: ip_conntrack_netbios_n[  OK  ]
這樣192.168.1.177 這個(gè)地址應(yīng)該不可以訪問它的22號(hào)端口，但192.168.1.177現(xiàn)在仍然可以，怎么回事？

nagaregawa

你只是說不是177的可以訪問，又沒有說是177的就不能訪問

Mylib

iptables -t filter -A INPUT -p tcp --dport 22 -s 192.168.1.177 -j DROP
這樣應(yīng)該可以

非洲烏龜

回復(fù) 3# Mylib


    這樣確實(shí)可以，按道理“！”也可以。

cyzhu

回復(fù) 4# 非洲烏龜


   
這要看你filter這個(gè)table的全局策略怎么定義的，如果是“drop all”的話，那你樣寫也是可以。
可是我看你現(xiàn)在應(yīng)該是“accept all”。

liyingchunvip

iptables -t filter -P INPUT DROP 就可以了