Маршрутизация, несколько сетей, несколько шлюзов

Если у вас все компьютеры физически в одном сегменте, то доступ гарантировано не перекрыть.

А касательно маршрутизации гуглите и читайте про policy based routing, это уже расписано в куче мест на разных языках.

физически один сегмент,но настройки прописанны статично, и менять их будут только умышленно,а это быстро вскроется, увижу левый трафик сразу. ... можно конкретный пример? ... в гугле я был, и если бы сам сообразил как делать, не стал бы тему создавать.

физически один сегмент,но настройки прописанны статично, и менять их будут только умышленно,а это быстро вскроется, увижу левый трафик сразу.

Достаточно будет запустить tcpdump на любой машине и минут пять понаблюдать, чтобы узнать про наличие других подсетей, а также узнать адреса шлюзов. Можно vlan'ами огородить, в принципе, если оборудование позволяет.

Моё мнение: Сделай одну локалку для людей и оборудования, тогда прописывая шлюзы ты можешь выходить на разные провайдеры. Для WiFi у нас будет WAN - наша локалка, а DHCP WiFi пусть раздает свою подсеть, для удобства 10.10.x.x. Да, не забудь прикрыть порты Windows https://support.microsoft.com/ru-ru/kb/150543

Мужики, с делением сети на сегменты, vlan и т.п. это лишнее и вопрос не в этом. про tcpdump я сомневаюсь что девочки операторы-бухгалтеры вообще когда либо слышали, да и не надо это им. Ну это все демагогия!!!

Подскажите по делу. Линукс два интерфейса - dhcp интернет, и локалка c несколькими подсетями на втором. у всех компьютеров прописан шлюзом этот линукс в своей подсети. Что прописать на линуксе чтобы часть компов шла не на провайдера этого линукса, а через роутер в локалке в другой подсети.

Создаёте две дополнительных таблицы маршрутизации с маршрутами по умолчанию через ваши шлюзы:

ip route add defult via 192.168.0.1 table XY
ip route add defult via 192.168.0.2 table XZ

Далее для каждого, кому нужен выход не через провайдера этого линукса пишите

ip rule add from 192.168.1.C table XY

Не забываете отключить rp_filter для br0, и, если нужно, прописать в таблицы XY и XZ маршруты к локалке:

ip route add 192.168.0.0/24 dev br0 table XY
и т.д.

Когда всё заработает, копируете эти команды секцию post-up, чтобы они выполнялись атоматически при поднятии интерфейса.

Что касается перекрытия доступа, то по умолчанию и бриджёваный трафик проходит через netfilter (iptables). Так что пишите правила в FORWARD и должно хватить.

ip route add defult via 192.168.0.2 table 2
ip rule add from 192.168.2.9 table 2
ip route add 192.168.0.0/24 dev br0 table 2

после этого у 192.168.2.9 пропал интернет совсем и доступ в другие подсети может что то еще нужно прописать ? rp_filter для всех интерфейсов 0

Вангую что 192.168.0.2 ничего не знает о сети 192.168.2.0, т.е. на него пакетики прилетают а вот от него уже нет. Посмотрите tcpdump

Вангую что 192.168.0.2 ничего не знает о сети 192.168.2.0, т.е. на него пакетики прилетают а вот от него уже нет. Посмотрите tcpdump

был прав на 0.2 прописал сеть 2.0/24 через линукс, и все заработало. а может ченить на Линуксе в iptables прописать чтобы на роутеры не лазить?

а может ченить на Линуксе в iptables прописать чтобы на роутеры не лазить?

Разверните мысль. У меня в честь Праздника телепатия отключилась. Но вангую man iptables

man iptables у меня ума не хватает, подталкините пожалуйста. а скажите еще зачем пишут вот типа такого, чтобы нат работал,

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 1.1.1.1 

man iptables у меня ума не хватает

Вот это поможет https://www.google.com/#q=iptables tutorial
Весьма просвещает, есть на русском в том числе. Я без шуток, очень рекомендую прочитать «от корки до корки». И тогда у вас почти не будет возникать вопросов «скажите еще зачем пишут вот типа такого», а на оставшиеся вопросы найдете ответы в мане и гугле.

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 1.1.1.1

Это NAT. По простому в пакетах уходящих с интерфейса eth0 адрес отправителя будет заменяться на 1.1.1.1 и при получении пакетов на 1.1.1.1 в этом соединении пакетики прилетят тому кто это отправлял.

сделал все что нужно, Спасибо!!!

А подскажите еще в чем может быть дело, прописал правила в post-up, после перезагрузки шлюза настраеваемый адресс не может ни куда зайти, как только на шлюзе начинаю смотреть tcpdump -i br0 host 192.168.2.9 сразу начинает ходить трафик как надо

ifconfig $IFNAME promisc - пропишите.

Так как широковещательный домен один, то предлагаю не извращаться, а просто использовать одну подсеть, если /24 не хватает, то использовать /23 или /22.

1 VLAN = 1 IP подсеть, остальное моветон, и ложное чувство безопасности.

А можете объяснить почему в неразборчевом режиме начинает работать? у меня же есть вот такое правило

iptables -t nat -A POSTROUTING -s 192.168.2.9-j SNAT --to-source 192.168.2.7

Потомушто bridge. Сильно по простому, интерфейс знает только о себе но не о других адресах в бридже, поэтому не реагирует на «неизвестные» адреса. Подобного же (но не постоянного) эффекта можно достигнуть запустив например пинг, в арп таблице добавиться запись и тоже заработает, но как вы понимаете не на долго.