iptables + vlan - как фильтровать пакеты с vlan?

в качестве интерфейса в правиле указывать транковый интерфейс (eth0.1002)

как же еще??

Ну, т.е.
----
iptables -A INPUT -p tcp -i eth0.1001 --dport 67 -j DROP
iptables -A INPUT -p tcp -i eth0.1002 --dport 67 -j DROP
----
должно бы работать?

ну или логичнее наоборот: в разрешающем правиле указать eth0 в качестве интерфейса

ну да. и udp еще.

нужно порезать пакеты на порт 67 от них, но оставить эти пакеты с самого eth0

давай на всякий случай уточним. имеется в виду блокировать входящие пакеты на интерфейсах eth0.1001 и eth0.1002, но оставить входящие (?) пакеты на eth0 ?

да, именно так

а еще можно dhcp-сервер твой привязать к конкретному интерфейсу.

Интерфейс - один, eth0
---
# cat /etc/default/isc-dhcp-server | grep eth0
# Separate multiple interfaces with spaces, e.g. «eth0 eth1».
INTERFACES=«eth0»

и что? сервер отвечает на запросы дхцп, приходящие на теггированные интерфейсы?

кстати есть еще одно «но». ипстолами блокировать трафик по портам не получится, dhcpd слушает интерфейс на более низком уровне. то есть клиент получит айпи от isc-dhcp даже при отсутствии разрешающих правил.

Клёво.... Но, вероятно, что именно так всё и есть.

в общем у меня на одном из серверов dhcp-server от ISC прекрасно дружит с влан. не только не пропуская запросы dhcp-клиентов из других вланоинтерфейсов, но и раздавая разные подсети на разные теггированные интерфейсы. причем в /etc/default/isc-dhcp-server не прописаны интерфейсы. прописаны подсети в dhcpd.conf.

Ой спасибо тебе милый человек... Я попался на это (логично, ведь у клиента сперва нет никакого ip ардеса, вот я дубина), никак не мог понять почему при DROP политике dhcp работал... Добавил на всякий случай разрешающие правила. - Но до сего момента недоумевал. А на каком уровне оно работает получается? На L2. Но как блокировать его тогда? :)

ISC DHCP Server работает в обход iptables

iptables не при делах

Ух чёрт, даже я в той ветке отметился тогда... Хэх. В общем чтоб не лезло dhcp куда не надо, настраивать нужно конфиг егонный. Прописывать или подсети правильно, или описывать прям интерфейсы.

ebtables (=

Святая корова..! Как я жил ранее без таких базовых знаний... - Спасибо!

ebtables в моей ситуации не проканало...

пока в конце dhcp.conf сделано:

deny unknown-clients;

и всех клиентов в статику. Для дома - нормально, а на работе нет роутеров с 1 сетевухой (D510MO) :)

Забавно, что года 4 назад я ругал мелкософт за дыру с raw socket,а тут так верил в безупречность дефолтовых настроек в Debian.....
Поди и деда мороза нет? Ну да дней через 29 я им побуду!

Во, отлично! А то меня подруга вечно просит побыть дедморозом для её чайлдов, теперь я точно знаю кто отправится на этот год вместо меня :)