vlan и iptables

0

1

Добрый день! Помогите советом.
Имеется корпоративный шлюз на Debian 5, на нем 3 физические сетевые платы. Одна eth0 смотрит в интернет (статический адрес), вторая - eth1 в корпоративную сеть (192.168.1.0/24). Через третью необходимо сделать выход в интернет для сторонних организаций (172.16.N.0/24), для этого на ней подняты vlan-ы, и она соединяется с управляемым коммутатором.
На шлюзе поднят NAT (MASQUERADE). Vlan-ы на шлюзе имеют адреса 172.16.N.1.
Для цепочек INPUT и FORWARD применена политика DROP.
Из-за маскарадинга пакеты из подсетей маршрутизируются не только в интернет, но и между самими подсетями.
Необходимо закрыть доступ подсетям между собой.
правило
-A FORWARD -s 192.168.1.0/24 -d 172.16.0.0/16 -j DROP работает, а правила типа
-A FORWARD -s 172.16.N.0/24 -d 192.168.1.0/24 -j DROP или
-A FORWARD -s 172.16.0.0/16 -d 172.16.0.0/16 -j DROP
не работают.
Как ограничить ход пакетов между подсетями?

Ссылка

←	Postfix + amavis

Настройка поднятия двух сетевых интерфейсов при запуске системы

→

надо посмотреть вот на это:

1. На шлюзе поднят NAT (MASQUERADE).

2. Для цепочек INPUT и FORWARD применена политика DROP.

3. Из-за маскарадинга пакеты из подсетей маршрутизируются не только в интернет, но и между самими подсетями.

gistart ★
(29.06.11 17:06:55 MSK)

Ответ на: комментарий от gistart 29.06.11 17:06:55 MSK

я имею в виду надо показать, чтобы мы посмотрели)

gistart ★
(29.06.11 17:10:43 MSK)

Ссылка

Замись маскарадинга для сети 172.16.0.0/16 надо использовать SNAT + закрыть в цепочки FORWARD пересылку на интерфейс eth1 в корпоративную сеть.. Я бы сделал так

Tok ★★
(29.06.11 17:13:46 MSK)

Ссылка

ifconfig сюда, iptables-save - на pastebin.com

Pinkbyte ★★★★★
(29.06.11 23:14:17 MSK)

Ответ на: комментарий от Pinkbyte 29.06.11 23:14:17 MSK

вот вывод ifconfig и iptables-save, немного порезанный, чтобы скрыть реальные IP

root@server:~# ifconfig

eth0 (Internet NIC)

eth1 Link encap:Ethernet HWaddr 00:26:18:83:d4:cb inet addr:192.168.1.245 Bcast:192.168.1.255 Mask:255.255.255.0

eth2 Link encap:Ethernet HWaddr 00:c0:26:2d:0f:e6 UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:2915595 errors:0 dropped:0 overruns:0 frame:0 TX packets:3113187 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:1000 RX bytes:701824290 (701.8 MB) TX bytes:710606213 (710.6 MB) Interrupt:17 Base address:0xe400

eth2.71 Link encap:Ethernet HWaddr 00:c0:26:2d:0f:e6 inet addr:172.16.1.1 Bcast:172.16.1.255 Mask:255.255.255.0

eth2.72 Link encap:Ethernet HWaddr 00:c0:26:2d:0f:e6 inet addr:172.16.3.1 Bcast:172.16.3.255 Mask:255.255.255.0

eth2.73 Link encap:Ethernet HWaddr 00:c0:26:2d:0f:e6 inet addr:172.16.4.1 Bcast:172.16.4.255 Mask:255.255.255.0

iptables тут http://pastebin.com/CNEbvHFt