Есть шлюз на ubuntu 16, есть внутренняя сеть 10.20.32.0/24 мне нужно запретить трафик во внутренней сети между двумя пк.Если конкретно, мне нужно что-бы некий хост А выпал из сети, ну и потом обратился ко мне. Правило
iptables -A INPUT -s 10.20.32.233 -j DROP не срабатывет, т.е. я с этой машины отлично пингую шлюз. Заранее благодарен
Пакеты между хостами одной и той же подсети не доходят до iptables, а обрабатываются непосредственно на свитче. То есть, iptables об их "общении" даже не знает.
kinvlad Я в принципе так и знал, вы подтвердили, спасибо. Тогда второй вопрос, а если хост а смотрит камеры с видеорегистратора он же хост Б. Как я могу запретить передачу видео между хостами? может на сквиде порт заблочить?
Денис Сечин: в дополнение к ответу Руслан Федосеев , как варианты: 1) посмотреть в настройках ПО самого видеорегистратора, нет ли возможности оттуда блокировать IP-адреса; 2) удаленно на хосте А блокировать исходящие соединения к видерегистратору (если это линукс, то поставить тот же iptables, если винда - курить удаленное управление файрволом (типа netsh advfirewall firewall add rule name= бла бла бла).
В варианте №2 у Вас должны быть соотвествующие привилегии на хосте А.
Денис Сечин: Ну тогда файрволлом тут не справится. Ту спасет только настройка на регистраторе, ну а если и на нем нет (и лезть на хост А не хочется или нет возможности) - только настройки на свитче, если он управляемый. Если же и там нет - понять и простить :)
CityCat4: он то управляемый, но там нет port-security, можно только отрубить порт, но на нем к сожалению не только регистраторы висят, так как за ним ещё тупой свитч следует
Руслан Федосеев Допустим хост А мониторит камеры через прогу, которые вещают видеорегистраторы они же хост Б, как мне запретить просмотри камер хосту А? через сквиду порт заблокировать?
причем тут сквид????
Если хост А и хост Б расположены в одной сети - трафик между ними всегда пойдет напрямую. Изменить это можно только так: - на порту свича, в который включен видеорегистратор, заблокировать пакеты от хоста А. Если у вас управляемое оборудование в сети - то вы это сможете. Если нет - выводите видеорегистратор в отдельную сеть, и фильтруйте на шлюзе
