主页 / server / 问题 / 1081206
Accepted
Adrian Cornish
Asked: 2021-10-21 18:23:20 +0800 CST

如何通过 MAC 地址使用防火墙阻止内部主机访问 Internet

  • 772

我试图阻止网络上的一些主机外出/打电话回家。

所以我有2个区域。

[root@eagle ~]# firewall-cmd --get-active-zones 
external
  interfaces: enp2s0
internal
  interfaces: eno1

伪装成external

[root@eagle ~]# firewall-cmd --zone=internal --query-masquerade
no
[root@eagle ~]# firewall-cmd --zone=external --query-masquerade
yes

而且我有一个丰富的规则来删除我想要的 MAC 地址的数据

[root@eagle ~]# firewall-cmd --zone=external --list-rich-rules 
rule source mac="40:16:3B:63:72:E0" drop

但这似乎不起作用。我检查的明显事情是将它们添加为永久并确保我重新加载了规则。

任何帮助表示赞赏

fedora masquerade firewalld

1 个回答

  1. Best Answer

    您正在外部区域添加 MAC 规则，即enp2s0. 通过该接口发送的以太网帧enp2s0的源 MAC 地址为 MAC 地址。

    如果要匹配内部网络中的设备，需要在internalzone中添加MAC匹配规则，该区域使用interface eno1，当接收到来自客户端的帧时，将客户端MAC地址作为源MAC地址。

    这意味着您还需要在规则中添加目标 IP 地址匹配。

    • 1

相关问题