OpenWRT白名单过滤如何仅允许特定IP访问指定端口？

Question

在OpenWRT中如何设置白名单以仅允许特定IP访问指定端口？ 在实际网络管理中，我们可能需要限制只有特定的IP地址能够访问某个特定端口。例如，只允许公司内部服务器（192.168.1.100）访问路由器上的SSH端口（22）。此时，我们需要在OpenWRT防火墙中添加自定义规则。通过使用iptables命令或在OpenWRT的防火墙配置文件（/etc/firewall.user）中添加规则，如：iptables -A input_wan_rule -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT，然后拒绝其他所有IP访问该端口。这样既能保障网络安全，又能灵活控制访问权限。但要注意保存和重启防火墙服务使规则生效。这种设置常见于增强远程管理安全性或保护敏感服务。

Answer 1

1. 了解OpenWRT防火墙基础

在OpenWRT中，防火墙配置是基于iptables的。为了实现仅允许特定IP访问指定端口的功能，我们需要熟悉以下基本概念：

• iptables链: iptables使用链来组织规则，如INPUT、FORWARD和OUTPUT。
• 目标动作: 如ACCEPT（允许）或DROP（拒绝）。
• /etc/firewall.user文件: 这个文件允许用户添加自定义的iptables规则，这些规则会在防火墙启动时自动加载。

例如，要限制只有公司内部服务器（192.168.1.100）能够访问SSH端口（22），我们可以通过iptables命令或者修改配置文件来实现。

2. 使用iptables命令设置白名单

首先，我们可以直接通过命令行添加iptables规则：

iptables -A input_wan_rule -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
iptables -A input_wan_rule -p tcp --dport 22 -j DROP

上述命令的第一行允许来自192.168.1.100的流量访问端口22，而第二行则阻止其他所有IP对端口22的访问。

为了确保规则生效，需要重启防火墙服务：

/etc/init.d/firewall restart

3. 在/etc/firewall.user中添加规则

如果希望通过配置文件持久化规则，可以编辑/etc/firewall.user文件，添加如下内容：

iptables -A input_wan_rule -p tcp --dport 22 -s 192.168.1.100 -j ACCEPT
iptables -A input_wan_rule -p tcp --dport 22 -j DROP

保存文件后，同样需要重启防火墙服务以应用更改。

4. 分析与验证规则

完成规则设置后，可以通过以下命令查看当前的iptables规则列表：

iptables -L -n -v

这将显示所有规则及其匹配次数，帮助确认新规则是否正确加载。

此外，可以通过尝试从不同IP地址访问SSH端口来测试规则的有效性。例如，从192.168.1.100访问应该成功，而从其他IP访问则应被拒绝。

5. 配置流程图

以下是整个配置过程的流程图：

```mermaid
graph TD
    A[开始] --> B[检查当前iptables规则]
    B --> C{是否需要修改？}
    C --是--> D[编辑/etc/firewall.user或使用iptables命令]
    D --> E[保存并重启防火墙]
    C --否--> F[结束]
```

此流程图清晰地展示了从分析需求到实施解决方案的完整步骤。