Маршрутизации между подсетями интерфейсов HPE1920S. Можно ли пробрасывать MAC адреса устройств?

Question

[SergeyShibka]

Есть свитч HPE 1920S. В нем имеется возможность маршрутизации между подсетями интерфейсов или вланов. Собрал связку, картинка приложена. На свитче добавлены IP адреса на портах 1,2,48. Опция Routing включена и на портах и глобально. Пинги (общий траффик) между подсетями 192.168.81.1 и 192.168.82.1 ходят нормально. Возникла необходимость дать интернет для PC1, его IP 192.168.81.125, MAC 12:76:74:7E:51:31. К порту 48 подключен сервер под линуксом, на нем включена маршрутизация между сетевыми интерфейсами, настроен Iptables (NAT) и добавлен маршрут (ip route add) для PC1. Проверяю пинги, до линукс сервера, ответ есть. Пингую внешний мир, ответ есть. Всё прекрасно. И вот захотелось теперь добавить в Iptables разрешения только с привязкой к мак адресам. Добавляю в правило разрешение для мак адреса PC1 12:76:74:7E:51:31. Начинаю пинговать внешний мир и получаю отлуп. На линукс машине запускаю tcpdump и обнаруживаю следующую картину, пакеты приходят на вход от PC1 c его IP 192.168.81.125, но мак адрес от свитча CD:BA:07:90:83:FB, естественно ничего не работает. Вопрос, как сделать, так, чтобы приходил мак адрес именно от PC1, иначе фильтрация по мак адресу в Iptables не работает. Кто сталкивался с настройкой этих свитчей? Или мак адреса устройств подключенных к портам по определению не прокидываются через свитч?

Answer 1

[Армянское Радио]

Это невозмжно сделать втупую, потому что подмена MAC адреса сведет с ума протокол Ethernet.

Или более просто - попытки нарушения иерархии OSI, а именно, попытки управлять уровнем 3 (на котором маршрутизация) с уровня 2 (на котором MAC адреса) ни к чему хорошему привести не могут.

Если очень хочется, можно при помощи QoS маркировать трафик, но это отдельное колдунство.

Comments

[SergeyShibka]

Спасибо за ответ. Да, это я сам прекрасно понимал, но думал, вдруг есть обходные маневры в свитче. Чтоб иметь возможность настраивать фильтрацию именно на iptables. Т.к. QoS в свитче настолько неудобно настраивается, что терпения не хватает. Каждое правило не имеет возможности его редактировать, а только удалять и заново писать, это полный изврат.

Answer 2

[SergeyShibka]

Такс, хорошо, если такую задачу решить этими железками нельзя нормально, какая железка имеет хороший функционал, пусть как iptables и достаточное количество портов? И как я понимаю в ней нужен сразу WAN.

Comments

[Valentin Barbolin]

Прямо на микотике можно все наворотить. Модель выбирай из нагрузки сети.

[SergeyShibka]

Andrey Barbolin, Я правильно понял, что в нем будет WAN порт, завожу интернет в него и локальные устройства в свои порты (локальная сеть по сегментам, грубо говоря в каждом порту своя подсеть) и уже его функционалом полноценно рулю? С Микротиком не было возможности такое протестировать.

[Valentin Barbolin]

SergeyShibka, Микротик - это швейцарский нож, можно определить любою роль для любого порта.

[SergeyShibka]

Andrey Barbolin, намёк понял, будем смотреть туда. Спасибо.

[SergeyShibka]

MikroTik CSS326-24G-2S+RM 24G 2SFP+ правильно понимаю, эта модель вполне подойдет для начала?

[SergeyShibka]

или вот этот MikroTik CRS326-24G-2S+IN 24G 2SFP

[SergeyShibka]

И как я понимаю нужно тогда полноценный L3 чтобы он поддерживал?