Как правильно связать два ethernet интерфейса и сделать фильтрацию пакетов?

Question

[Александр Булитеров]

Здравствуйте, уважаемые знатоки!

Есть устройство с двумя ethernet портами/интерфейсами. Необходимо передавать пакеты с одного на другой только на определённый ip. В другом направлении можно всё. Настройки сети могут быть разными.

Как правильно называется такой режим проброса? Мост? Маршрутизация?
Можно ли просто перекидывать пакеты с одного интерфейса в другой не модифицируя пакет?

Как проще всего такое реализовать? Устройство на мк stm32, стек tcp есть.

Answer 1

[ky0]

Это вопрос к устройству - умеет оно анализировать пакеты и принимать какие-то решения в соответствии с данными или нет.

То, что вам нужно, обычно на том же линуксе реализуется фаерволлом - просто наличия TCP-стека недостаточно, если нужно нечто большее, чем объединение двух интерфейсов в мост, т. е., фактически, в один L2-домен.

Comments

[Александр Булитеров]

Умеет!
Уточню вопрос: что это за соединение? Что фактически происходит с пакетами? Достаточно просто их пересылать дальше? Или нужно что-то менять? Айпи в сетях разные.

[ky0]

Александр Булитеров, мост - это соединение интерфейсов на втором уровне OSI, как будто они воткнуты в соседние порты одного свитча. Броадкаст-запросы ходят и всё такое. Если диапазоны сетей не пересекаются, нужно будет добавить на устройствах соответствующие маршруты, или расширив маски на них.

[pfg21]

L2 работает с mac-адресами, а тут требуется фильтрация на уровне ip-адресов :)

[ky0]

pfg21, поэтому я и написал, что возможность того, что нужно ТСу зависит от того, умеет ли его устройство работать с пакетами на L3.

[pfg21]

ky0, стек писан tcp а tcp - протокол транспортного уровня или L4.
соответственно L3 L2 L1 включено бай дефаулт.

[ky0]

pfg21, я говорил не о тупом наличии, а о возможностях - конкретно, о возможности выборочного форвардинга пакетов по аналогии с линуксовым фаерволлом.

Вы в чём меня убедить пытаетесь?

[pfg21]

ky0, даже в линуксе линуксовый фаервол сделан отдельно от стека tcp/ip :) в стек tcp/ip никто сложную обработку пакетов впихивать не будет - она там не нужна.
я хочу сказать что в стеке tcp стм32 скорей всего отсутствуют возможности форвардинга или обработки пакетов.
обработку и фовардинг надо будет делать отдельным кодом поверх стека. что собственно очень коряво и описал.

Answer 2

[pfg21]

вопрос в мощности stm32. хватит мощи - пиши свой/кроспортируй роутер на стм32.
имхо прямее и эффективнее взять готовую железяку с готовым линуксом (от роутера типа nexx wt3020h до малинки/бананки/итд) и нарисовать правила роутинга в нем.

Comments

[Александр Булитеров]

Мощности должно, да и это не критично в задаче!
Т. Е. Это роутер? А что делает роутер с пакетом? Он что-то меняет? Так как реализации роутера нет, придётся писать, но нужно знать что писать!

[pfg21]

да, получаемое устройство - роутер (кажись таки правильнее маршрутизатор), т.е. фильтрация по ip-адресам, уровень сетевого взаимодействия L3.
алгоритм видится примерно такой:
поднимаешь два сетевых соединения.
с одного получаешь пакеты.
анализируешь - если адрес получателя совпадает с заданым то передаешь на отправку во второе соединение.
плюс добавляешь условия для пересылки пакетов сетевого управления: широковещательные и еще какие-то (хотя в твоих мож и не понадобится).
остальные пакеты дропаешь.
и такое же создаешь в обратку
допиливаешь настраиваешь прорабатываешь ошибки - получаешь минималистический роутер между соединениями.
надеюсь NAT в задаче нету...
как то так.