使用 iptables，匹配数据包通过 IPSEC 隧道到达

Question

我在隧道模式下使用 IPSEC。

如何制定一个 iptables 规则，只匹配通过 IPSEC 隧道到达的数据包（即在IPSEC 解密它们之后 -而不是它们到达时和解密之前的 IPSEC 数据包）。

关键是要有一个只能通过 IPSEC 访问而世界其他地方无法访问的特定端口。

Answer 1

您需要使用策略模块，并指定ipsec策略来匹配此流量。例如，以下规则允许所有入站流量到 tcp 端口 12345。不要忘记规则顺序在 中很重要iptables，并且您可能还需要允许返回半包，具体取决于您当前的OUTPUT限制。

iptables -A INPUT -m policy --pol ipsec --dir in -p tcp --dport 12345 -j ACCEPT