iptables可实现MAC地址白名单，但仅适用于直连二层局域网：需客户端与服务器同网段、流量经INPUT/FORWARD链早期处理、内核启用CONFIG_NETFILTER_XT_MATCH_MAC模块；跨子网、NAT、云虚拟网卡、Docker桥接等场景因MAC头被替换而失效。
可以实现，但仅适用于直连二层局域网环境，且必须严格匹配网络路径与规则位置。
适用前提：必须满足三个硬性条件
一是客户端和服务器处于同一物理网段或 VLAN，中间无三层路由设备；二是流量必须经过 INPUT 或 FORWARD 链的早期处理阶段（即数据帧尚未被剥离 MAC 头）；三是内核已启用 CONFIG_NETFILTER_XT_MATCH_MAC 模块（主流发行版默认开启）。
不满足任一条件，MAC 匹配即失效。例如：跨子网访问、经由家用路由器/NAT、使用云厂商虚拟网卡（如 AWS ENA）、启用了 Docker/KVM 桥接——这些场景中，原始源 MAC 在到达 INPUT 链前已被替换或丢弃。
核心命令写法与关键细节
基于 filter 表操作，只对入站流量生效：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
- 拒绝指定 MAC：iptables -A INPUT -m mac --mac-source 00:11:22:33:44:55 -j DROP
- 仅允许该 MAC 访问 SSH：iptables -A INPUT -p tcp --dport 22 -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT
- MAC + IP 双重校验（防 ARP 欺骗）：iptables -A INPUT -s 192.168.1.100 -m mac --mac-source 00:11:22:33:44:55 -j ACCEPT
注意：MAC 地址必须小写、冒号分隔；--mac-source 是唯一可用参数，不存在 --mac-dest；规则顺序至关重要——需放在通用 ACCEPT 规则之前，否则会被提前放行。
避免常见失效陷阱
很多“加了规则没效果”的问题，根源不在语法，而在路径错位：
- 目标是本机别名 IP 或容器 IP 时，部分请求可能走 OUTPUT 链而非 INPUT，而 OUTPUT 不支持 MAC 匹配
- 配置了 DNAT（如端口转发）后，原始 MAC 信息在 NAT 过程中丢失
- 未持久化规则：重启后清空，需执行 iptables-save > /etc/iptables/rules.v4（Debian/Ubuntu）或 service iptables save（RHEL/CentOS）
- 误用于 IPv6 环境：IPv6 的链路层处理更复杂，SLAAC 地址生成会模糊 MAC 与接口 ID 的对应关系
进阶建议：搭配 ipset 提升可维护性
若需管理多个 MAC 地址，不建议逐条写 iptables 规则。可结合 ipset 创建 MAC 白名单集合：
- 创建集合：ipset create mac_whitelist hash:mac
- 添加设备：ipset add mac_whitelist 00:11:22:33:44:55
- 关联防火墙：iptables -A INPUT -m set --match-set mac_whitelist src -j ACCEPT
这样增删 MAC 无需修改 iptables 主规则，只需操作 ipset 集合，适合中小规模固定终端准入管理。
