Geräte im Netzwerk sperren

Um ein Gerät aus dem Netzwerk auszuschließen, muss die MAC-Adresse gesperrt werden. Bei iptables geht dies mit folgender Regel. 

iptables -I INPUT -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP

Nur verhindern, dass Gerät nach draußen kommuniziert. 

iptables -I FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP

Kommentare hinzufügen: 

iptables -I FORWARD -m mac --mac-source xx:xx:xx:xx:xx:xx -j DROP -m comment --comment "XX von Internet ageschlossen"

Persistente Regeln

Nach dieser Anleitung zunächst iptables-persistent installieren und dann die aktuellen Regeln speichern: 

apt install iptables-persistent
iptables-save > /etc/iptables/rules.v4

Um die aktuellen Regeln beim herunterfahren automatisch zu speichern habe ich eine systemd-unit erstellt:
/etc/systemd/system/save-iptables.service 

[Unit]
Description=Save iptables Rules
DefaultDependencies=no
Before=shutdown.target

[Service]
Type=oneshot
RemainAfterExit=yes
ExecStart=/usr/bin/bash -c '/usr/sbin/iptables-save > /etc/iptables/rules.v4'

[Install]
WantedBy=halt.target reboot.target shutdown.target