Блокировка пакетов между подсетями

[matstar]

Уважаемое сообщество! Подскажите пожалуйста как настроить сети в Ubuntu сервер 12.10.
Имеем следующее:
Есть несколько сетевых интерфейсов

(Нажмите, чтобы показать/скрыть)

auto eth0
iface eth0 inet static
        address 77.ХХХ.ХХХ.180
        netmask 255.255.255.248
        gateway 77.ХХХ.ХХХ.177
        dns-nameservers 8.8.8.8
pre-up iptables-restore < /etc/iptables.up.rules

auto eth1
iface eth1 inet static
        address 192.168.4.69
        netmask 255.255.255.0
        network 192.168.4.0
        broadcast 192.168.4.255

auto eth2
iface eth2 inet static
        address 192.168.11.1
        netmask 255.255.255.0
        network 192.168.11.0
        broadcast 192.168.11.255

auto eth3
iface eth3 inet static
        address 192.168.14.1
        netmask 255.255.255.0
        network 192.168.14.0
        broadcast 192.168.14.255

auto eth4
iface eth4 inet static
        address 192.168.0.1
        netmask 255.255.255.0
        network 192.168.0.0
        broadcast 192.168.0.255

eth0 интернет (статический айпи)
eth1, eth2, eth3, eth4 - локальные сети

Настройки  sysctl.conf

(Нажмите, чтобы показать/скрыть)

net.ipv4.conf.default.forwarding=1
net.ipv4.conf.all.forwarding=1

настройки iptables.up.rules

(Нажмите, чтобы показать/скрыть)

*nat
:PREROUTING ACCEPT [1207:74159]
:INPUT ACCEPT [288:21904]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -j MASQUERADE
COMMIT
# Completed on Sun Apr  7 12:13:13 2013
# Generated by iptables-save v1.4.12 on Sun Apr  7 12:13:13 2013
*filter
:INPUT ACCEPT [663:53460]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [415:30654]
-A FORWARD -s 192.168.4.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
COMMIT

Сейчас все интерфейсы видят друг друга и с любой подсети пингуются все остальные. Из любой сети есть доступ в интернет.

Задача:
1. Никакой связи между подсетями. Никто не должен видеть другие подсети.
2. eth1 доступ в интернет, DHCP. (локальная офисная сеть)
3. eth2 без доступа в интернет, DHCP.
4. eth3 доступ в интернет, DHCP. (гостевой доступ в интернет)
5. eth4 без доступа в интернет, DHCP.

[fisher74]

1. Никакой связи между подсетями. Никто не должен видеть другие подсети.

Код: [Выделить]

sudo iptables -P FORWARD DROP

2. eth1 доступ в интернет (локальная офисная сеть)

Код: [Выделить]

sudo iptables -A FORWARD -i eth1 -s 192.168.4.0/24 -o eth0 -j ACCEPTхотя Вы это уже сделали.

3. eth2 без доступа в интернет

Уже всё сделано

4. eth3 доступ в интернет (гостевой доступ в интернет)

Код: [Выделить]

sudo iptables -A FORWARD -i eth3 -s 192.168.14.0/24 -o eth0 -j ACCEPT

5. eth4 без доступа в интернет

Уже всё сделано

А DHCP с блокировкой пакетов не связано и настраивать отдельно.

[matstar]

Спасибо за ответ, все сделал по вашему совету.

(Нажмите, чтобы показать/скрыть)

*nat
:PREROUTING ACCEPT [1207:74159]
:INPUT ACCEPT [288:21904]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -j MASQUERADE
COMMIT
# Completed on Sun Apr  7 12:13:13 2013
# Generated by iptables-save v1.4.12 on Sun Apr  7 12:13:13 2013
*filter
:INPUT ACCEPT [663:53460]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [415:30654]
-P FORWARD DROP
-A FORWARD -s 192.168.4.0/24 -i eth0 -o eth1 -m conntrack --ctstate NEW -j ACCEPT
-A FORWARD -i eth3 -s 192.168.14.0/24 -o eth0 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
COMMIT

1. после перезагрузки сети не поднимается eth0
2. к подсети 192.168.14.0/24 подключился по Wifi. Комп получил Ip из этой подсети по dhcp (например 192.168.14.25). С этого компа пингуются остальные интерфейсы (eth1,eth2,eth4). Т.е мы прибили транзитный трафик, но к самим интерфейсам доступ есть. Нужно ли (в целях безопасности) ограничить доступ к этим интерфейсам из других сетей и если да, то как это сделать?
 

[koshev]

1. Не имеет отношение к iptables. Смотрите состояние pre-up в interaces
2. Документация к netfilter https://ru.wikibooks.org/wiki/Iptables

[matstar]

1. Не имеет отношение к iptables. Смотрите состояние pre-up в interaces

Спасибо за очень обстоятельный ответ. Может я конечно не в той теме задаю свои вопросы, надо было задавать в теме для новичков, но хотелось бы понять что в pre-up не так. До этого всё работало. Если там есть какая то ошибка, то подскажите её пожалуйста.

2. Документация к netfilter https://ru.wikibooks.org/wiki/Iptables

Та же ситуация. Если Вам лень отвечать на вопрос, то можно было не отвечать вообще. Мне казалось что форум нужен для того что бы помогать людям разобраться в системе, а не посылать их. Эти статьи я читал, но разобраться досконально мне самому сложно, поэтому и прошу совета и разъяснений.
Если кто то может указать мне на мои ошибки и дать ответ с разъяснениями, то я буду очень благодарен. Все данные я дал в первом посте, если что то не хватает, то выложу.
P.S. KT315, Вы пишете хорошие Mini FAQ. может из этой темы тоже выйдет что то подобное, т.к. по настройке сервера и раздачи интернета для 2-х сетевых интерфейсов всего полно, а дальше ничего нет.

[AnrDaemon]

matstar, это форум помощи, а не обучения и настройки за вас.
Попробуйте сами хоть что-нибудь сделать, либо уже скажите "я этим заниматься не собираюсь, но готов заплатить".

[matstar]

AnrDaemon,
Вот я  и прошу помочь мне разобраться. Можно не писать конкретно, а просто объяснить что не так.
Первый ответ был очень хороший. Я разобрался что не сделал и что делать дальше.
Теперь я не понимаю, что в этой строчке "pre-up iptables-restore < /etc/iptables.up.rules" стало не то. Интерфейс после перезагрузки всегда поднимался, а сейчас перестал. Кроме того, что вставить в "iptables.up.rules" строчку "-A FORWARD -i eth3 -s 192.168.14.0/24 -o eth0 -j ACCEPT" я больше ничего не делал.
Мне не надо писать что и куда конкретно вставить. Может можно объяснить обычными словами?

[AnrDaemon]

Если при перезагрузке интерфейс не поднимается, значит либо такого интерфейса нет, либо что-то случилось. Подробности всегда можно найти в /var/log/syslog

[koshev]

matstar, Вы ещё и не довольны? Однако... 

[matstar]

KT315,
Ну почему? Сейчас гораздо ближе. AnrDaemon ответил вполне нормально.

Если при перезагрузке интерфейс не поднимается, значит либо такого интерфейса нет, либо что-то случилось. Подробности всегда можно найти в /var/log/syslog