Перейти к содержимому
Калькуляторы

запретить транзитный трафик с помощью iptables

Здравствуйте.

Имеется роутер на asplinux 9.2. на нем два физических интрефейса, eth0 - интернет, eth1 локальная сеть. На eth1 много виланов. нужно запретить транзитный трафик с определенного mac-адреса в интернет и в локальную сеть (между виланами).

iptables -I FORWARD -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP

работает только в плане трафика между eth0 и eth1, то есть из локальной сети в интернет, внутри локальной сети между виланами не работает.

tcpdump-ом входящие/исходящие пакеты этой машины прекрасно видны. если логировать эту машину по IP-адресу -

iptables -I FORWARD -d XX.XX.XX.XX -j LOG --log-prefix "TEST "

лог выглядит таким образом (почему то нет mac-адреса)-

Jan 27 8:57:12 asp kernel: TEST IN=eth1 OUT=eth1.20 SRC=YY.YY.YY.YY DST=XX.XX.XX.XX LEN=84 TOS=0x00 PREC=0x00 TTL=126 ID=32901 PROTO=ICMP TYPE=0 CODE=0 ID=1135 SEQ=3191

по IP-адресу пакеты дропаются. в цепочке INPUT все работает. всякие ухищрения с mark тоже не работают с mac-адресом. PREROUTING ведет себя так же. всякие игры с интерфейсам - -i eth1 -o eth1.2 тоже ничего не дают. отказ от использования vlan1 тоже.

 

пробовалось на ядре 2.4.22 и 2.6.26, iptables v1.2.9 и v1.4.10

 

заранее спасибо за ответ.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Если пакеты дропаются по IP, а по маку нет, значит мак другой для обмена по локальной сети. Посмотрите внимательно пакеты, какой мак на тразитных из сети в сеть. Если трафик внутри сети маршрутизируются, то там спокойно может быть мак роутера.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Здравствуйте.

Имеется роутер на asplinux 9.2. на нем два физических интрефейса, eth0 - интернет, eth1 локальная сеть. На eth1 много виланов. нужно запретить транзитный трафик с определенного mac-адреса в интернет и в локальную сеть (между виланами).

iptables -I FORWARD -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP

работает только в плане трафика между eth0 и eth1, то есть из локальной сети в интернет, внутри локальной сети между виланами не работает.

tcpdump-ом входящие/исходящие пакеты этой машины прекрасно видны. если логировать эту машину по IP-адресу -

iptables -I FORWARD -d XX.XX.XX.XX -j LOG --log-prefix "TEST "

лог выглядит таким образом (почему то нет mac-адреса)-

Jan 27 8:57:12 asp kernel: TEST IN=eth1 OUT=eth1.20 SRC=YY.YY.YY.YY DST=XX.XX.XX.XX LEN=84 TOS=0x00 PREC=0x00 TTL=126 ID=32901 PROTO=ICMP TYPE=0 CODE=0 ID=1135 SEQ=3191

по IP-адресу пакеты дропаются. в цепочке INPUT все работает. всякие ухищрения с mark тоже не работают с mac-адресом. PREROUTING ведет себя так же. всякие игры с интерфейсам - -i eth1 -o eth1.2 тоже ничего не дают. отказ от использования vlan1 тоже.

 

пробовалось на ядре 2.4.22 и 2.6.26, iptables v1.2.9 и v1.4.10

 

заранее спасибо за ответ.

Мне почему-то кажется, что фильтровать надо в raw PREROUTING .

Также можно попробовать ebtables/arptables

Изменено пользователем marikoda

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Мне почему-то кажется, что фильтровать надо в raw PREROUTING .

Также можно попробовать ebtables/arptables

А Вы в курсе, что в table raw нет действий(jump) по фильтрации? Только NOTRACK и RETURN.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Если это роутер, который роутит инет и локалку, то в filter, FORWARD однозначно будет пакет с маком. Нужно искать, почему там мак другой и кто его меняет. Никаких raw, PREROUTING и другого не надо.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Если это роутер, который роутит инет и локалку, то в filter, FORWARD однозначно будет пакет с маком. Нужно искать, почему там мак другой и кто его меняет. Никаких raw, PREROUTING и другого не надо.
Вы правы, спасибо большое.

там мак этого же роутера.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Ответить в тему...

×   Вставлено в виде отформатированного текста.   Вставить в виде обычного текста

  Разрешено не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отобразить как ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставить изображения напрямую. Загрузите или вставьте изображения по ссылке.