Как провести изоляцию двух lan на linux друг от друга?

Question

[plr]

Имеется две сетевые карты в linux на базе clearos-дистрибутива, на каждом свой сетевой интерфейс, оба - lan.

"Из коробки" clearos маршрутизирует между собой все lan-интерфейсы, а мне нужно сделать изолированные друг от друга lan.

Как? Не обязательно средствами clearos, пойдут и консольными командами.

Answer 1

[Ilya Evseev]

iptables -I FORWARD -i eth0 -o eth1 -j DROP
iptables -I FORWARD -i eth1 -o eth0 -j DROP

Обратите внимание на "-I" (insert) вместо "-A" (append).

Comments

[plr]

Заработало. Спасибо. А как удалить предыдущую настройку с "-А"? Вдруг чему-то помешает?

[Michaelikus]

покажите iptables - L -vxn
Кстати, после перезагрузки правило скорее всего исчезнет. Нужно добавить в автозагрузку.

[Ilya Evseev]

Ничему не помешает. Но если сильно хочется, то дважды выполняете команды с "-D" (delete) вместо "-I", и потом один раз снова с "-I".

Answer 2

[kindacute]

Попробуйте так: xmodulo.com/2012/03/how-to-enable-ip-forwarding-in...

Comments

[plr]

во-первых, мне не нужен форвардинг между локальными сетями, во-вторых, форвардинг используется для доступа в интернет из/в локальных сетей.

Answer 3

[Michaelikus]

Способ №1. Быстрый.
Порезать с помощью iptables.
Смотреть в сторону iptables -A FORWARD (цепочка FORWARD)

Убить любой трафик, входящий на eth0 и выходящий с eth1.
iptables -A FORWARD -i eth0 -o eth1 -j DROP
для верности добавить обратную последовательность
iptables -A FORWARD -i eth1 -o eth0 -j DROP

Способ №2. Правильный.
Поделить сеть на VLAN (802.1q), но это долго, в двух словах не объяснить.
Очень хорошо описано здесь:
https://wiki.debian.org/NetworkConfiguration?highl...

Comments

[plr]

Способ №1 не сработал. Возможно в ClearOS есть набор правил, которые срабатывают раньше, чем я делаю эти. Делать сброс правил - неправильно, т.к. потеряет смысл использования ClearOS. Способ №2 не пробовал, я и так изолировал две сети разными сетевыми картами.

[Ilya Evseev]

VLAN не поможет. Как маршрутизировал, так и дальше будет.

[Michaelikus]

Сама идеология VLAN такова, что трафик не должен попадать из одного VLAN в другой. Так что при правильной настройке трафик не будет гулять между VLAN'ами.

[Ilya Evseev]

Он и между картами не гуляет, пока они не объединены в мост. Трафик проходил не на втором уровне, а на третьем, т.к. в ОС включен форвардинг.