Как указать несколько IP-адресов в iptables

Утилита iptables позволяет системным администраторам настраивать политики контроля входящего и исходящего сетевого трафика в ОС Linux. Зачастую пользователи устанавливают правила для одного IP-адреса источника или назначения. Но бывают ситуации, когда в одном правиле нужно указать сразу несколько IP-адресов.

В этой статье мы расскажем, как указать в правилах iptables несколько IP-адресов источника и назначения.

Содержание:

1. Добавьте IP-адреса нескольких источников в одно правило iptables
2. Добавьте несколько IP-адресов назначения в одно правило iptables
3. Просмотрите добавленные правила iptables
4. Выводы

Добавьте IP-адреса нескольких источников в одно правило iptables

Для указания IP-адреса источника в iptables применяется параметр -s (или --source). Синтаксис команды iptables с использованием этой опции имеет следующий вид:

sudo iptables -A <chain> -s source_ip [options] -j target

Где:

• -A <chain> — опция, которая указывает добавить правило к выбранной цепочке iptables;
• source_ip — IP-адрес источника;
• [options] — дополнительные параметры, которые можно использовать для дальнейшего уточнения правила;
• -j target — опция, определяющая действие, которое будет предпринято, если пакет соответствует правилу.

Чтобы указать для параметра -s сразу несколько IP-адресов, достаточно просто перечислить их через запятую:

sudo iptables -A <chain> -s source_ip1,source_ip2,source_ip3... [options] -j target

Для примера создадим правило iptables, которое позволяет локальной системе получать входящий трафик с IP-адресов 192.168.1.5 и 192.168.2.6, если он предназначен для IP-адреса 192.168.1.254:

sudo iptables -A INPUT -s 192.168.1.5,192.168.2.6 -d 192.168.1.254 -j ACCEPT

Читайте также: 25 полезных советов по iptables для администратора Linux.

В этой команде присутствуют следующие опции:

• -A INPUT — указывает добавить правило к цепочке INPUT;
• -s 192.168.1.5,192.168.2.6 — задает IP-адреса источников, с которых разрешен входящий трафик;
• -d 192.168.1.254 — указывает IP-адрес назначения, на который адресуется входящий трафик;
• -j ACCEPT — определяет, что если входящий трафик соответствует IP-адресам источников и предназначен для 192.168.1.254, то он будет принят и разрешен для получения локальной системы.

Добавьте несколько IP-адресов назначения в одно правило iptables

Для указания IP-адреса назначения в iptables используется параметр -d (или --destination). Синтаксис команды iptables с этой опцией имеет следующий вид:

sudo iptables -A <chain> -d destination_ip [options] -j target

Где, destination_ip — это IP-адрес назначения.

Чтобы указать для параметра -d сразу несколько IP-адресов, следует перечислить их через запятую:

sudo iptables -A <chain> -d destination_ip1,destination_ip2,destination_ip3... [options] -j target

Допустим, нам нужно создать правило, которое позволяет локальной системе получать входящий трафик, предназначенный для одного из указанных IP-адресов (192.168.1.5 или 192.168.1.6):

sudo iptables -A INPUT -d 192.168.1.5,192.168.1.6 -j ACCEPT

Читайте также: Утилита iptables: установка и настройка.

Просмотрите добавленные правила iptables

Чтобы убедится, что созданные правила вступили в силу, выполните следующую команду:

sudo iptables -t filter -L <chain> -n -v

В этой команде есть следующие параметры:

• -t filter — задает таблицу соответствия пакетов, с которой должна работать команда (в нашем случае — filter);
• -L <chain> — указывает перечислить все правила для выбранной цепочки (например — INPUT);
• -n — указывает отображать значения IP-адресов вместо имен хостов и портов;
• -v — отображает дополнительную информацию о правилах.

Чтобы получить более подробную информацию про утилиту iptables, посетите ее справочную страницу:

man iptables

Выводы

Указывать сразу несколько IP-адресов источников и назначения в правилах iptables — довольно просто. Скорее всего, это позволит существенно сократить затраты времени и сил при работе с утилитой. Надеемся, что этот материал был полезным для Вас!

Спасибо за время, уделенное прочтению статьи!

Если возникли вопросы — задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).