Die Whitelist von iptables funktioniert nicht, während die Blacklist dies tut

Weiterleitung für alle zulassen und eine Reihe von IPS-Funktionen blockieren:

iptables -P FORWARD ACCEPT
iptables -A FORWARD -m set --match-set denied_ips src,dst -j REJECT

Die Weiterleitung für alle zu verweigern und eine Reihe von IPS zuzulassen, funktioniert jedoch nicht:

iptables -P FORWARD DROP
iptables -A FORWARD -m set --match-set allowed_ips src,dst -j ACCEPT

Was ist damit los?

edit: Zur Verdeutlichung hier meine Regeln. Ich will FORWARDalles nicht reinlassen allowed_ips.

#iptables -S
-P INPUT ACCEPT
-P FORWARD DROP
-P OUTPUT ACCEPT
-A FORWARD -m set --match-set allowed_ips src,dst -j ACCEPT

Ich habe die Antwort gefunden: Es stellt sich heraus

iptables -A FORWARD -m set --match-set allowed_ips src,dst -j ACCEPT

nur Spiele , wenn beide src UND dst in allowed_ips. Ich dachte fälschlicherweise, es würde passen, wenn entweder src oder dst drin sind allowed_ips.