Форум русскоязычного сообщества Ubuntu


Получить помощь и пообщаться с другими пользователями Ubuntu можно
на irc канале #ubuntu-ru в сети Freenode
и в Jabber конференции ubuntu@conference.jabber.ru

Автор Тема: несколько vlan, ограничения доступа  (Прочитано 781 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Zlodeev09

  • Автор темы
  • Новичок
  • *
  • Сообщений: 3
    • Просмотр профиля
несколько vlan, ограничения доступа
« : 06 Февраль 2014, 11:50:19 »
Доброго времени суток, просьба помочь разобраться с правилами iptables.
Есть несколько vlan-ов, как ограничить доступ между ними, например vlan2 чтобы не могли видеть vlan3, и все вланы не могли видеть vlan1, но могли выйти через него в инет, на данный момент сделал выход в инет со всех вланов через vlan1. Вот пример моих правил:

#!/bin/sh

IPT="iptables"
INTERNET="vlan1"
LAN2="vlan2"
LAN3="vlan3"
SUBNET2="yy.yy.y.0/24"
SUBNET3="хх.хх.х.0/24"

$IPT -F
$IPT -t nat -F

echo 1 > /proc/sys/net/ipv4/ip_forward

$IPT -A FORWARD -i $INTERNET -o $LAN2 -m conntrack --ctstate NEW -j ACCEPT
$IPT -A FORWARD -i $INTERNET -o $LAN3 -m conntrack --ctstate NEW -j ACCEPT
$IPT -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

$IPT -A POSTROUTING -t nat -s $SUBNET2 -j MASQUERADE
$IPT -A POSTROUTING -t nat -s $SUBNET3 -j MASQUERADE

Буду благодарен за любую помощь)
« Последнее редактирование: 06 Февраль 2014, 12:12:36 от Zlodeev09 »

Оффлайн anubis_donetsk

  • Участник
  • *
  • Сообщений: 188
  • ничто не совершенно кроме freebsd
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #1 : 06 Февраль 2014, 12:23:21 »
Както так
$IPT -A FORWARD -o $LAN2 -i $LAN3 -j DROP
$IPT -A FORWARD -i $LAN2 -o $LAN3 -j DROP
$IPT -I FORWARD -i $LAN2 -d ip_gateway -j ACCEPT
$IPT -A FORWARD -i $LAN2 -d ip_vlan1 -j DROP

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27319
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #2 : 06 Февраль 2014, 13:52:53 »
Вообще-то это делается как
-P FORWARD DROP
-A FORWARD -m state --state ESTABLISHED,RELATED,DNAT -j ACCEPT
-A FORWARD -o $inet -j ACCEPT
-A FORWARD -o $vlan1 -j DROP

И условие
все вланы не могли видеть vlan1, но могли выйти через него в инет
само себе противоречит. Зачем так по-дурацки настраивать сеть? Создайте отдельный vlan, если нужно пустить локалку и инет в одном направлении.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн koshev

  • Старожил
  • *
  • Сообщений: 1705
  • חתול המדען
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #3 : 06 Февраль 2014, 13:54:58 »
И не нужно никаких безумных скриптов. Для этого есть.
Код: Text
  1. echo 'net.ipv4.ip_forward = 1' >>/etc/sysctl.conf; sysctl -p
  2. aptitude install iptables-persistent
Debian GNU\Linux 7.11; ICH7; r8169; Linux 4.14.32-atomd525mv-imq-ja1 (i686)
Ubuntu GNU\Linux 18.04; MCP61; forcedeth; 4.15.0-20-generic (x86_64)

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27319
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #4 : 06 Февраль 2014, 13:55:54 »
aptitude install iptables-persistent
Я ОЧЕНЬ СИЛЬНО нелюблю этот пакет. Одна ошибка - и идёшь иметь секс с консолью.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн koshev

  • Старожил
  • *
  • Сообщений: 1705
  • חתול המדען
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #5 : 06 Февраль 2014, 14:04:49 »
Это справедливо для всех скриптов выполняющихся при старте системы.
Автоматически пакет НЕ СОХРАНЯЕТ правила, а только загружает.
(Нажмите, чтобы показать/скрыть)
« Последнее редактирование: 06 Февраль 2014, 14:08:45 от KT315 »
Debian GNU\Linux 7.11; ICH7; r8169; Linux 4.14.32-atomd525mv-imq-ja1 (i686)
Ubuntu GNU\Linux 18.04; MCP61; forcedeth; 4.15.0-20-generic (x86_64)

Оффлайн Zlodeev09

  • Автор темы
  • Новичок
  • *
  • Сообщений: 3
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #6 : 06 Февраль 2014, 14:49:28 »
Вообще-то это делается как
-P FORWARD DROP
-A FORWARD -m state --state ESTABLISHED,RELATED,DNAT -j ACCEPT
-A FORWARD -o $inet -j ACCEPT
-A FORWARD -o $vlan1 -j DROP

И условие
все вланы не могли видеть vlan1, но могли выйти через него в инет
само себе противоречит. Зачем так по-дурацки настраивать сеть? Создайте отдельный vlan, если нужно пустить локалку и инет в одном направлении.

Спасибо за подсказку, тогда вопрос поставлю по другому, можно ли сделать так, чтобы использовать шлюз vlan1 и исключить остальные внутренние адреса vlan1

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27319
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #7 : 06 Февраль 2014, 15:26:47 »
Что мешает перенести шлюз из vlan1 либо перенести клиентов из vlan1 в другой vlan?... Я этого не понимаю.
(Да, сделать так можно, но не нужно. Нужно нормально планировать сеть, прежде чем браться её настраивать.)
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Zlodeev09

  • Автор темы
  • Новичок
  • *
  • Сообщений: 3
    • Просмотр профиля
Re: несколько vlan, ограничения доступа
« Ответ #8 : 06 Февраль 2014, 15:41:58 »
Все получилось, всем спасибо за помощь, пример настройки если кому понадобится:

$IPT -A FORWARD -o $LAN2 -i $LAN3 -j DROP
$IPT -A FORWARD -i $LAN2 -o $LAN3 -j DROP

$IPT -A FORWARD -d ip_gate  -j ACCEPT
$IPT -A FORWARD -s SUBNET  -j DROP

Пользователь решил продолжить мысль 06 Февраль 2014, 15:51:23:
Что мешает перенести шлюз из vlan1 либо перенести клиентов из vlan1 в другой vlan?... Я этого не понимаю.
(Да, сделать так можно, но не нужно. Нужно нормально планировать сеть, прежде чем браться её настраивать.)

А вам приз за самый ценный совет. Так что, парни, прежде чем тут спрашивать, научитесь правильно планировать сеть! )))
« Последнее редактирование: 06 Февраль 2014, 15:52:39 от Zlodeev09 »

 

Страница сгенерирована за 0.089 секунд. Запросов: 24.