Iptables: как разрешить соединения для определенных портов только с ip через chain?

Question

[cy-ernado]

Есть host1 и host 2, между ними создаются соединения портов 27010:27100. Нужно запретить соединяться по этим портам всем, кроме host 1 и host2.
У меня политика по умолчанию - разрешить все, что не запрещено. Вот как я пытался реализовать:

Chain mongo (2 references)
target     prot opt source               destination         
ACCEPT     all  --  host1        anywhere            
ACCEPT     all  --  host2        anywhere            
ACCEPT     all  --  anywhere             anywhere             source IP range 172.17.0.0-172.17.255.255
DROP       all  --  anywhere             anywhere

(172.17.0.0-172.17.255.255 - адреса, с которых запрос тоже должен проходить, но они на другом интерфейсе)

Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
mongo      tcp  --  anywhere             anywhere             tcp dpts:27010:27100
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:domain
ACCEPT     udp  --  anywhere             anywhere             udp dpt:domain
ACCEPT     tcp  --  anywhere             anywhere             tcp dpt:bootps
ACCEPT     udp  --  anywhere             anywhere             udp dpt:bootps
mongo      tcp  --  anywhere             anywhere             tcp dpts:27010:27100

В чем может быть проблема и как это сделать правильно?

Answer 1

[kirdik]

-A INPUT -m state --state NEW -m tcp -p tcp --dport 27010-27100 -h host1 -j DROP
-A INPUT -m state --state NEW -m tcp -p tcp --dport 27010-27100 -h host2 -j DROP