问使用IPTABLES的MAC地址的字节计数器

EN

没有--mac-destination这回事。你必须使用move to ebtables for that。

对于缺少的--mac-destination，诀窍是将iptables --mac-source与CONNMARK结合使用

• 首先使用--mac-source来匹配来自您感兴趣的mac地址的数据包。
• 使用CONNMARK来标记整个连接，即双向(!)现在，
• 使用连接标记检查另一个方向的数据包。

# lan interface
if_lan=eth0

# packets going to mac address will pass through this:
iptables -t mangle -N clientA_download    

# mark connections involving mac address:
iptables -t mangle -A PREROUTING -i $if_lan -m state --state NEW -m mac --mac-source 00:11:22:33:44:55 -j CONNMARK --set-mark 1234

# match packets going to mac address:
iptables -t mangle -A POSTROUTING -o $if_lan -m connmark --mark 1234 -j clientA_download

最初我认为这只适用于源自局域网的tcp连接，但根据--state NEW的定义，它应该在tcp和udp (!)两个方向上都有效。

有关计数器的信息，请参阅ipset，它对此非常有用。

Policy Routing on Linux based on Sender MAC Address是这个答案的灵感来源。

您混淆了下载和上传规则。

规则1: iptables -A FORWARD -m mac --mac-source 00:11:22:33:44:55:66

被附加到ipchain并检查转发链中的给定mac。

现在你需要在输入链中检查你的mac，所以不要在FORWARD链中应用第二个规则，而是在INPUT链中应用它：

规则2: iptables -I INPUT -m mac --mac-destination 00:11:22:33:44:55:66