如何通过单条iptables规则匹配任意子网掩码的IP以避免添加33条单独规则？

首先得明确：iptables本身根本不支持/any这种写法，你碰到的invalid mask 'any' specified报错是完全正常的。而且你提到的“覆盖/0到/32所有掩码”其实有个逻辑漏洞——10.10.10.20/0等价于0.0.0.0/0，也就是整个IPv4地址空间，要是真加了这条DROP规则，其他32条更精确的规则根本没机会生效，这显然不是你真正想要的效果。

我先给你分几种常见的真实需求场景，对应不同的解决方案：

场景1：只想匹配单个IP 10.10.10.20 #

这是最简单的情况，直接用/32掩码（代表单个主机）就行，一条规则搞定：

iptables -t filter -A FORWARD_0_IN -p all -s 10.10.10.20/32 -j DROP

场景2：想匹配某一类IP段（比如整个10.x.x.x私有网络） #

如果需求是匹配所有10开头的IP，直接用A类私有网络的标准CIDR就行：

iptables -t filter -A FORWARD_0_IN -p all -s 10.0.0.0/8 -j DROP

场景3：确实需要匹配所有以10.10.10.20为网络地址的子网段 #

如果你真的要覆盖10.10.10.20/0到10.10.10.20/32所有33种网络段，别手动加33条规则，用ipset来批量管理更高效：

1. 先创建一个存储网络段的集合：

ipset create my_target_nets hash:net

2. 用脚本批量把所有掩码对应的网络段加入集合：

for mask in {0..32}; do
    ipset add my_target_nets 10.10.10.20/$mask
done

3. 最后在iptables里引用这个集合，一条规则就够了：

iptables -t filter -A FORWARD_0_IN -p all -m set --match-set my_target_nets src -j DROP

最后还是建议你和需求团队确认清楚：他们说的/any到底是要匹配什么范围？是单个IP？某类网段？还是真的要覆盖所有可能的子网？毕竟如果是/0的话，规则会直接DROP所有IP，这大概率不是业务想要的结果。

备注：内容来源于stack exchange，提问作者RootPhoenix