我在隧道模式下使用IPSEC。
如何使一个iptables规则只匹配通过IPSEC隧道到达的数据包（即在 IPSEC解密之后 ，IPSEC数据包到达之前和解密之前）。
关键是要有一个特定的港口，只有通过IPSEC才能进入，世界其他地方无法进入。
您需要使用策略模块，并指定ipsec策略，以匹配此stream量。 例如，以下规则允许所有入站stream量到tcp端口12345.不要忘记，规则顺序在iptables很重要，而且您可能还需要允许返回半分组，这取决于您当前的OUTPUT限制。
iptables -A INPUT -m policy --pol ipsec --dir in -p tcp --dport 12345 -j ACCEPT