树莓派AP网络iptables规则配置故障：默认拒绝所有仅允许指定IP无限制访问但无法联网

看起来你已经把树莓派的路由型AP基础架构搭得差不多了，现在卡在iptables规则的精细化配置上——想默认拒绝所有流量，只放行指定IP（192.168.10.123）的内外网访问，但现在这个IP能SSH到Pi却没法上网，我来帮你梳理问题所在和修复方案：

现有规则的核心问题 #

你当前的iptables规则存在几个关键漏洞：

1. 返程流量未被放行：当指定IP访问外网时，互联网返回的流量会通过Pi的eth0接口进入，需要转发到wlan口，但你的FORWARD规则只做了单向的放行，没有匹配「已建立连接的返程流量」，导致这部分流量被默认DROP掉，这就是没法上网的直接原因。
2. 主机名引用有风险：规则里用了Fruit.wlan这个主机名，一旦Pi启动时DNS解析未就绪，这条规则会直接失效，建议改用静态IP192.168.10.123更可靠。
3. OUTPUT链限制过严：Pi自身的必要网络操作（比如DNS查询）被限制，会间接影响客户端的上网（如果客户端用Pi做DNS服务器的话）。

修复后的完整规则配置 #

咱们一步步来重置并配置规则，确保逻辑清晰：

1. 先清理现有规则（可选，避免旧规则干扰） #

sudo iptables -F
sudo iptables -t nat -F
# 恢复默认拒绝策略
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT DROP

2. 配置INPUT链（保护Pi自身的访问） #

• 必须保留本地回环接口的所有流量：

sudo iptables -A INPUT -i lo -j ACCEPT

• 允许指定IP对Pi的所有访问（比如SSH、管理操作）：

sudo iptables -A INPUT -s 192.168.10.123 -j ACCEPT

• 允许Pi对外发起连接的返程流量（比如Pi查询DNS的返回结果）：

sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

3. 配置FORWARD链（实现指定IP的内外网转发） #

这部分是解决上网问题的核心：

• 允许指定IP访问外网（转发到eth0接口）：

sudo iptables -A FORWARD -s 192.168.10.123 -o eth0 -j ACCEPT

• 允许外网返回的流量转发到指定IP（匹配已建立的连接，自动放行返程）：

sudo iptables -A FORWARD -d 192.168.10.123 -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

• 如果需要允许指定IP访问AP内网的其他设备（192.168.10.x网段），加上这两条：

sudo iptables -A FORWARD -s 192.168.10.123 -d 192.168.10.0/24 -j ACCEPT
sudo iptables -A FORWARD -d 192.168.10.123 -s 192.168.10.0/24 -m state --state ESTABLISHED,RELATED -j ACCEPT

4. 配置OUTPUT链（允许Pi自身的必要操作） #

• 允许本地回环流量：

sudo iptables -A OUTPUT -o lo -j ACCEPT

• 允许Pi和指定IP的通信：

sudo iptables -A OUTPUT -d 192.168.10.123 -j ACCEPT

• 允许Pi对外发起连接的返程流量（比如系统更新、DNS查询）：

sudo iptables -A OUTPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
# 如果你不需要Pi主动访问外网，这条可以删掉
# sudo iptables -A OUTPUT -o eth0 -j ACCEPT

5. 保留NAT的地址转换规则（你之前的配置是对的） #

sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

测试验证 #

配置完成后，用指定IP（192.168.10.123）的设备尝试：

• ping外网地址（比如ping 8.8.8.8），看是否能通
• 访问网页，验证互联网连接正常
• SSH到Pi，确认管理访问不受影响
• 尝试用其他未授权IP连接AP，确认无法访问内外网

备注：内容来源于stack exchange，提问作者ExecutionByFork