OpenWRT使用iptables设置只允许MAC地址对应设备访问局域网

最新推荐文章于 2025-06-17 09:15:00 发布

原创最新推荐文章于 2025-06-17 09:15:00 发布 · 1.2w 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#openwrt #iptables #mac #局域网 #mac地址过滤

OpenWrt 专栏收录该内容

10 篇文章

订阅专栏

本文介绍如何通过配置iptables规则来限制OpenWRT系统中的特定设备只能访问局域网，避免这些设备连接到互联网。通过精确设置MAC地址匹配及目标IP范围，确保了网络安全。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

OpenWRT只允许设备访问局域网

原理分析

要想设备只能访问局域网，有两个方案
1.使用iptables匹配设备MAC地址为XXXXXXXXXXX且目的地址为公网地址的设备若匹配则拒绝
2.使用iptables匹配设备MAC地址为XXXXXXXXXXX且目的地址为局域网地址的设备若匹配接受，在此规则下面添加该MAC地址所有包都丢弃
由于公网IP段不明确，因此我们这里采取第二种方案

局域网IP段

10.0.0.1/16 10.0.0.1-10.0.255.255
172.16.0.0/12 172.16.0.0-172.31.255.255
192.168.0.0/16 192.168.0.0-192.168.255.255

详细命令

1:iptables -I FORWARD  -m mac --mac-source 00:0C:29:93:6C:DD -j DROP
2:iptables -I FORWARD  -d 192.168.0.0/16 -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT
3:iptables -I FORWARD  -d 172.16.0.0/12  -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT
4:iptables -I FORWARD  -d 10.0.0.0/8 -m mac --mac-source 00:0C:29:93:6C:DD -j ACCEPT

命令详解

以上命令1、2、3、4的顺序为输入命令的顺序，因为iptables最后插入的命令为最顶端，而过滤的顺序为从iptables的第一条往下匹配，如果有一条匹配成功则不再继续匹配，因此iptables -I FORWARD -m mac –mac-source 00:0C:29:93:6C:DD -j DROP这条命令一定要最先插入，因为要保证该条规则为最后匹配，如果该规则先匹配的话那么该MAC地址所有的包都将被丢弃，所有网络均不可访问