Как запретить wi-fi пользователям доступ в локальную сеть?

Question

[CheGevara]

мой гугл плох и я не нашел в нем ответа. я только учусь =)
Есть простой wi-fi маршрутизатор/точка доступа на RaspberyPi3 (стоит ОС Raspbian)
eth0 - воткнут в локальную сеть, из которой берет инет
wlan0 — точка доступа
ip в wlan раздает Dnsmasq, точку доступа настроена через Hostapd, роутинг стандартными для этого правилами iptables
Всё работает.
Вопрос: как запретить юзверям подключенным по wi-fi (wlan) доступ в локальную сеть (eth0), только интернет

Comments

[Ezhyg]

разные VLAN-ы, разные подсети, пара правил фаирволла

Answer 1

[Дмитрий Шицков]

Нужно понимать, что у вас за устройство на другом конце eth0 - оно умеет VLANы?
Если нет, то простейшим способом будет через iptables запретить доступ подсети wlan0 к ip адресам локальной сети, кроме интернет-шлюза (плохое решение, но сработает). И не отрежте самому себе доступ к RaspberyPi :)

Comments

[CheGevara]

vlan не может, суть как раз делать все на RPi
нуб вопрос: а как будет звучать правило для iptables? и чем этот способ плох?

[Максим Гришин]

iptables -A FORWARD -d 192.168.1.0/24 -i wlan0 -j DROP
По-моему так.

Answer 2

[CityCat4]

Через iptables, раз умеет:
- Пропускать все с интерфейса wlan0 на адрес шлюза, а также на сервисы локалки, есть есть - DNS, NTP...
- Валить все с интерфейса wlan0 на интерфейс eth0

Против лома нет приема :) Тупо но надежно.