路由器配置求助：拦截特定IP流量并实现指定主机互通

核心思路 #

通过在控制器中配置两条差异化优先级的流表规则，实现"允许合法主机互通+拦截指定流量"的需求：高优先级规则拦截h2到h4的流量，低优先级规则放行h1/h2/h3/h5之间的所有流量。

具体实现（以OpenFlow Ryu控制器为例） #

1. 添加拦截规则
   针对h2到h4的IP流量设置高优先级丢弃规则，确保这类流量被优先匹配并拦截：

   # 替换为实际的h2、h4 IP地址
   H2_IP = "10.0.0.2"
   H4_IP = "10.0.0.4"
   
   # 构造匹配条件：源IP为h2，目的IP为h4
   match = parser.OFPMatch(ipv4_src=H2_IP, ipv4_dst=H4_IP)
   # 动作为空，即丢弃流量
   actions = []
   inst = [parser.OFPInstructionActions(ofproto.OFPIT_APPLY_ACTIONS, actions)]
   # 优先级设为10（高于后续的允许规则）
   flow_mod = parser.OFPFlowMod(datapath=dp, priority=10, match=match, instructions=inst)
   dp.send_msg(flow_mod)
   

2. 添加合法流量放行规则
   配置低优先级规则，允许h1、h2、h3、h5之间的所有流量正常转发：

   # 替换为实际的合法主机IP列表
   VALID_IPS = ["10.0.0.1", "10.0.0.2", "10.0.0.3", "10.0.0.5"]
   
   for src_ip in VALID_IPS:
       for dst_ip in VALID_IPS:
           # 匹配源和目的IP均属于合法主机组的流量
           match = parser.OFPMatch(ipv4_src=src_ip, ipv4_dst=dst_ip)
           # 动作为转发到对应端口（如果是泛洪则用OFPP_FLOOD，或根据拓扑指定端口）
           actions = [parser.OFPActionOutput(ofproto.OFPP_FLOOD)]
           inst = [parser.OFPInstructionActions(ofproto.OFPIT_APPLY_ACTIONS, actions)]
           # 优先级设为5（低于拦截规则）
           flow_mod = parser.OFPFlowMod(datapath=dp, priority=5, match=match, instructions=inst)
           dp.send_msg(flow_mod)
   

关键注意事项 #

• 优先级顺序：拦截规则的优先级必须高于放行规则，否则合法流量的规则会先匹配，导致拦截失效。
• 二层/三层适配：如果是二层网络环境，需将匹配字段从ipv4_src/ipv4_dst替换为eth_src/eth_dst（对应主机MAC地址）。
• 流表验证：配置完成后，可通过ovs-ofctl dump-flows <网桥名称>命令查看流表是否正确加载。
• 流量测试：用tcpdump在h2或h4的连接端口抓包，确认h2到h4的ping包被丢弃，同时其他主机间的ping能正常通。

内容的提问来源于stack exchange，提问作者Mencil Stensil