openwrt 利用iptable，实现wifi的MAC过滤和上网的MAC过滤。

harleysue

搞了一天，晚上也没搜到比较好的教程。
所以自己动手做了，拿出来大家共享。
首先，在etc下面建立一个文件，叫maclist。
格式如下
mac # 备注。一个条目一行。例如
aa:aa:aa:aa:aa:aa #张三

然后在rc.local里面加入下面的代码：

1. iptables -t nat -I PREROUTING -p tcp -m tcp --dport 0:65535 -j DNAT --to 192.168.1.1:880
   
2. iptables -t nat -I PREROUTING -p udp -m udp --dport 0:65535 -j DNAT --to 192.168.1.1:880
   
3. iptables -N harley
   
4. iptables -I INPUT 1 -j harley
   
5. 
   
6. for mac in $(cat maclist); do
   
7. iptables -t nat -I PREROUTING -m mac --mac-source ${mac:0:17} -j ACCEPT
   
8. iptables -A harley -i br-lan -m mac --mac-source ${mac:0:17} -j RETURN
   
9. done
   
10. iptables -A harley -i br-lan -j DROP

复制代码

大概原理：
在input链的前面加入一个自己写的链。叫harley。然后在里面进行MAC过滤，匹配的就跳回INPUT，不匹配的就扔掉。
这样不符合的MAC网卡就无法连接到wifi上面。提示无连接或者失效。
在nat链里面，对不符合的包全部转发到一个不能正常工作的目的地址。

最后：请教大家一个问题。
就是我的openwrt不知道是不是arp的问题，用arp -s命令绑定MAC的时候，老是不成功
比如输入arp -s IP MAC后，就会打印目前的ARP表，但是看不到我自己添加的项目。
在脚本里面添加，又提示arp找不到。
谁能帮忙解决。

savage1984

luci已有相关选项切实可行，你可以参考下

harleysue

2# savage1984

我知道DHCP哪里有绑定的。
但是和ARP -S绑定还是不同的。
貌似openwrt里面的arp工具只有两个功能，就是现实和删除。
-f 和 -s貌似都不生效的。

99010

2# savage1984

我知道DHCP哪里有绑定的。
但是和ARP -S绑定还是不同的。
貌似openwrt里面的arp工具只有两个功能，就是现实和删除。
-f 和 -s貌似都不生效的。
harleysue 发表于 2011-7-6 20:44

harleysue

4# 99010

刚刚换了一个新的ROM
看到有MAC过滤功能了
不过ARP绑定的功能，还是不能实现。
难不成MAC绑定，还是得用iptables么。。