使用iptables，匹配数据包通过IPSEC隧道到达

我在隧道模式下使用IPSEC。

如何制定仅匹配通过IPSEC隧道到达的数据包的iptables规则（即，在 IPSEC解密之后 - 而不是到达和解密之前的IPSEC数据包）。

关键是要有一个只能通过IPSEC访问而世界其他地方无法访问的端口。

您需要使用策略模块，并指定ipsec策略以匹配此流量。例如，以下规则允许所有进入tcp端口12345的入站流量。请不要忘记规则顺序在中很重要iptables，根据您当前的OUTPUT限制，您可能还需要允许返回一半数据包。

iptables -A INPUT -m policy --pol ipsec --dir in -p tcp --dport 12345 -j ACCEPT