OpenWRT使用iptables设置只允许MAC地址对应设备访问局域网

OpenWRT只允许设备访问局域网

---

原理分析

要想设备只能访问局域网，有两个方案
1.使用iptables匹配设备MAC地址为XXXXXXXXXXX且目的地址为公网地址的设备若匹配则拒绝
2.使用iptables匹配设备MAC地址为XXXXXXXXXXX且目的地址为局域网地址的设备若匹配接受，在此规则下面添加该MAC地址所有包都丢弃
由于公网IP段不明确，因此我们这里采取第二种方案

局域网IP段

10.0.0.1/16 10.0.0.1-10.0.255.255
172.16.0.0/12 172.16.0.0-172.31.255.255
192.168.0.0/16 192.168.0.0-192.168.255.255

详细命令

1:iptables -I FORWARD  -m mac --mac-source 00:0C:29:93:6C:DD -j DROP
2:iptables -I FORWARD  -d 192.168.0.0/16 -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT
3:iptables -I FORWARD  -d 172.16.0.0/12  -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT
4:iptables -I FORWARD  -d 10.0.0.0/8 -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT

命令详解

以上命令1、2、3、4的顺序为输入命令的顺序，因为iptables最后插入的命令为最顶端，而过滤的顺序为从iptables的第一条往下匹配，如果有一条匹配成功则不再继续匹配，因此iptables -I FORWARD -m mac –mac-source 00:0C:29:93:6C:DD -j DROP这条命令一定要最先插入，因为要保证该条规则为最后匹配，如果该规则先匹配的话那么该MAC地址所有的包都将被丢弃，所有网络均不可访问