Использование Ipset и Iptables для фильтрации MAC-адресов

Я использую фильтрацию MAC-адресов на моем маршрутизаторе Linux. Вот что я сделал:

iptables -A INPUT -i eth5 -m mac --mac-source 00:07:e9:84:2b:99 -j RETURN #User: Someuser
iptables -A INPUT -i eth5 -j DROP

Но список правил Iptables огромен - более 400 записей. Недавно я прочитал о преимуществах использования Ipset с Iptables здесь. Но нигде я не нашел никаких советов о том, как сделать то же самое с фильтрацией MAC. Итак, как я могу использовать Ipset для фильтрации MAC-адресов, чтобы уменьшить размер таблицы правил Iptables.

Источник

1 ответ

По сути, что-то вроде этого, но вы должны связать IP с MAC, чистых наборов MAC, кажется, не существует:

# ipset --create test macipmap --network 10.0.0.0/16
# ipset --add test 10.0.0.1,00:11:22:33:44:55
# iptables -A INPUT -i eth5 -m set --match-set test src -j ACCEPT

Здесь вы видите содержимое карты и счетчик ссылок, указывающий правило iptables, ссылающееся на этот набор:

# ipset -L test
Name: test
Type: macipmap
References: 1
Header: from: 10.0.0.0 to: 10.0.255.255
Members:
10.0.0.1,00:11:22:33:44:55

Есть несколько вещей для рассмотрения:

  • Этот тип набора технически ограничен до 64 тыс. Последовательных адресов (не уверен, что они должны быть "выровнены по подсети").
  • Ваше ядро ​​должно поддерживать ipset, к сожалению, большинство распространенных стандартных дистрибутивов не
  • Вы можете установить статический ARP в качестве альтернативы
  • MAC-адреса могут быть легко подделаны
Источник
Другие вопросы по тегам