iptables LOG 的一些特殊问题

[acbot]

需求：两个 IP 组 gA gB 来源的要独立分别记录日志统计，除开这两个组的所有 IP 来源另外记录，实现规则如下

1. iptables -t mangle -A -p tcp -m tcp --dport 443 -m set --match-set gA src -j LOG --log-prefix "group a access: "

2. iptables -t mangle -A -p tcp -m tcp --dport 443 -m set --match-set gB src -j LOG --log-prefix "group b access: "

3. iptables -t mangle -A -p tcp -m tcp --dport 443 -j LOG --log-prefix "other access: "

现在的问题是 gA gB 的来源除了触发规则 1 或 2 还同时会触发规则 3 ，原因我看是说：LOG 是一个例外，不遵循匹配即中止的原则，虽然 ! match-set 可以这样取反但是 match-set 后面我没有看到过同时跟两条 IPset 的情况，那么这个问题有没有什么方便的办法，还是只能重新建立一个包含 gA gB 新 ipset 组来实现？

通过再次搜索，找到了多个 -m set 介绍，其实直接在一个规则中写入多个就可以了，既：

iptables -t mangle -A -p tcp -m tcp --dport 443 -m set ! --match-set gA src -m set ! --match-set gB src -j LOG --log-prefix "other access: "

目前测试没有问题！

[24owls]

goto 就好了

用 iptables 而不是 nft 是有什么特殊考虑吗

[acbot]

@24owls 延承问题！