Как запретить трафик между локальным(eth1) и виртуальным(eth1:0) интерфейсом?

Question

[andr_px]

Есть Linux-box с двумя сетевыми интерфейсами.
eth0 - inet
eth1 - lan (192.168.1.1)
eth1:0 - lan (192.168.2.1)

Как сделать так, чтобы трафик не ходил между eth1 и eth1:0?

Пробовал:
iptables -I FORWARD -i eth1:0 -o eth1 -j DROP
iptables -I FORWARD -i eth1 -o eth1:0 -j DROP
Однако не сработало.

Всем спасибо, проблему решил установкой отдельной сетевой картой.

Comments

[Сергей Сергей]

может output цепочку испробовать:
-A OUTPUT --src eth1 --dst eth1:0 -j DROP

[andr_px]

Сергей Сергей: спасибо, но не помогло

Answer 1

[andr_px]

Проблему решил установкой отдельной сетевой картой, vlan в данном случае не подходил.

Answer 2

[Владимир]

с точки зрения iptables eth1 и eth1:0 - один и тот же интерфейс

попробуйте так

ip link add virtual0 link eth1 type macvlan mode bridge
ip addr add 192.168.2.1/24 dev virtual0
ip link set virtual0 up

iptables -I FORWARD -i virtual0 -o eth1 -j DROP	
iptables -I FORWARD -i eth1 -o virtual0 -j DROP

Comments

[andr_px]

Спасибо, не заработало, нет интернета на virtual0. Наверно надо думать о 3 сетевой карте.

[ldv]

andr_px: фильтруйт по номерам подсетей и все

Answer 3

[Валентин]

Сделайте фильтрацию в цепочке PREROUTING. Или, как вариант, не обязательно делать SECONDARY адрес. А еще можно сделать реально на различных подинтерфейсах - loopback (unnumberred), subif (vlan).