[iptables] mac filtering, squid, nat

генерируй правила циклом, на основе списка маков.

Что в таком случае лучше использовать для обработки списка маков? awk? Пример бы не помешал.

Легко. Выделяй пакеты по макам и маркируй их в mangle/PREROUTING, а в nat/PREROUTING и filter/FORWARD отлавливай их по маркировке.

iptables -t mangle -N check_mac
iptables -t mangle -A check_mac -m mac --mac-source 00:1c:fc:9a:94:fa -j MARK --set-mark 1
...
iptables -t mangle -I PREROUTING -p tcp -j check_mac
iptables -t nat -I PREROUTING -i eth1 -p tcp --dport 80 -m mark --mark 1 -j REDIRECT --to-ports 3128
iptables -I FORWARD -m mark --mark 1 -j ACCEPT

Также советую фильтр по маркировке добавить в filter/INPUT, чтобы всякие на проксю не шлялись.

Впрочем, лично мне более изящным кажется решение на базе stateful-маркировок.

Поробуйте использовать ipset macipmap для выделения трафика от разрешенных хостов, потому что если MAC-адресов достаточно много то куча правил затормозит ваш роутер. Вообще неплохо бы просто прибить ип к макам на коммутаторах заюзав DHCP snooping, а на шлюзе ориентироваться только на ip адреса.

ipset

>ipset macipmap

В данном случаем может и не подойти, так как оно работает только в том случае, если айпишники гвоздями прибиты к макам. Проверять маки отдельно там нельзя. (Ключ matchunset к делу не относится, он разрешает проверку адресов на соответствие рабочему диапазону безотносительно мака.)

если MAC-адресов достаточно много то куча правил затормозит ваш роутер

netfilter очень неплохо вылизан по скорости, поэтому, чтобы создать ощутимые задержки, нужны тысячи или десятки тысяч правил (в зависимости от железа). Сомневаюсь, что в сети ТС'а найдется столько уникальных маков.

Всем спасибо. Воспользовался советом nnz и markevichus.

Фильтруемых маков несколько десятков, не более.