Как сделать в Iptables Ubuntu белый список айпи адресов доступ только к одному порту?

Question

[Smoke User]

Доброго времени суток
Прошу ответить или направить
как мне прописать в Iptables белый список айпи адресов доступ только к порту 80 ?
а остальные, которые нет в списке просто дропались.
Здесь в хабре нашел такой ответ:

iptables -I INPUT -p tcp -m tcp --dport 80 -j DROP
iptables -I INPUT -s 1.1.1.1/32 -p tcp -m tcp --dport 80 -j ACCEPT

но у меня сотни диапазонов айпи адресов и я думаю, это будет громоздкое правило , если я буду все указывать.
раньше на фрибсд в блокнот писал и указывал на фаерволле PF
если такое есть в iptables было бы здорово.

Comments

[Дмитрий]

iptables + ipset
Примера, к сожалению, под рукой нет, делал на прошлой работе правила фильтрафции по десяткам тысяч ip-адресов (списки Роскомнадзора), но он без проблем гуглится.
Списки ipset можно перезагружать независимо от правил iptables

Answer 1

[Alexey Dmitriev]

ipset create whitelistport80 nethash
ipset add whitelistport80 1.0.1.0/24 # повторить много раз
iptables -A INPUT -p tcp --dport 80 -m set --match-set !whitelistport80 src -j DROP

Как уже сказал уважаемый Дмитрий - список адресов через ipset рулится независимо от правила (имейте ввиду, он сбрасывается при ребуте машины, можно использовать ipset-save и ipset-restore, если есть стандартные скрипты)

Comments

[Smoke User]

Спасибо, прояснили этот момент

Что нужно сделать, что бы ipset после reboot сервера сохранял сеты?
согласно здесь, я делаю
apt install iptables-persistent (в моем случае с убунту)
Далее редактируем скрипт запуска /etc/init.d/iptables-persistent
Находим секуцию save_rules() и дописываем в нее вначале строку
ipset save > /etc/ipset.rules
Это будет сохранять сеты IPSET при каждом сохранении правил iptables с помощью iptables-persistent.

После этого находим секцию load_rules() и добавляем вначале строку
ipset restore < /etc/ipset.rules
Это будет загружать сеты IPSET при каждой загрузке правил iptables с помощью iptables-persistent.

Этот вариант на мой взгляд самый удобный. Одной командой из консоли cохраняются и правила iptables и сеты Ipset. После перезагрузки правила сохранятся.
service iptables-persistent save