单网卡双 IP 如何禁止从某个 IP 入站？

[fat00119]

Debian11

eth0 a.b.c.4

eth0:1 a.b.c.5

eth0 是主 IP 默认出站是此 IP; eth0 和 eth0:1 都能入站

现在想实现的是：禁止外部从 eth0 入站 其他不变

小鸡上有 iptables 和 ufw 能实现吗？或者其他能实现的方法 谢谢大家

[nkloveni]

iptables -A INPUT -d a.b.c.4 -p tcp --dport 80 -j DROP

[tril]

ufw deny in on eth0

[tril]

如果防火墙里已有规则，则要改成插入到第一条：
如果用 ufw：
ufw insert 1 deny in on eth0

如果用 iptables：
iptables -I INPUT -i eth0 -j DROP
ip6tables -I INPUT -i eth0 -j DROP

[fat00119]

@nkloveni 针对单个端口有效果， 谢谢大佬。 再请教一下， 如果禁止“80 端口”改为“所有端口”， 我尝试把 --dport 80 删除 ，但是小鸡访问不到外网了。是有其他表达方式吗？


@tril 直接 eth0 的话 两个 IP 都连不进小鸡了

[neroxps]

这问题 bing new 都有答案吧。

[fat00119]

@neroxps 问过 他答出来的不对

[tril]

@fat00119 两个都不通可能是因为你这两个接口都是同一个物理网口，得改成匹配目的地。

用 ufw 可以这样（ ufw 默认会把规则加在连接跟踪规则的后面，只需要这一条）：
ufw insert 1 deny from any to a.b.c.4/32

用 iptables 的话，如果直接拒绝入站会导致从 a.b.c.4 访问网站收不到网站发来的回包，要加上连接跟踪，可以这样：
iptables -I INPUT -d a.b.c.4 -j DROP
iptables -I INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
ip6tables -I INPUT -d a.b.c.4 -j DROP
ip6tables -I INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

[tril]

@tril 两条 ipv6 的规则可以不加（ ip6tables ），如果也需要的话得指定 ipv6 的地址，不是 a.b.c.4 ，我写错了。

[fat00119]

@tril 感谢大佬 亲测可用

[nkloveni]

@fat00119
/sbin/iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -d a.b.c.4 -p tcp --dport 80 -j DROP
这么配合着用。