linux - IPtables 块范围异常

Question

我的网络中有一台服务器，我希望将出站流量 DROP 到 LAN 中的任何其他主机，除了一个或两个单台主机。例如，我想阻止到 123.123.1.1/16 的出站流量，但 123.123.10.10 和 123.123.20.20 除外。我怎样才能在 IPTABLES 中做到这一点？

我尝试过这样的事情：

sudo iptables -D OUTPUT -d 123.123.1.1/16 ! -d 123.123.10.10 -j DROP

但是我收到一个错误，该-d运算符只能使用一次。

Answer 1

ACCEPT在DROP. _

iptables -A OUTPUT -d 123.123.10.10 -j ACCEPT
iptables -A OUTPUT -d 123.123.1.1/16 -j DROP

这样，一旦数据包匹配第一个规则，它甚至不会针对第二个规则进行测试。