Início / server / Perguntas / 1168885
Accepted
Jack Haughton
Asked: 2024-12-15 06:01:48 +0800 CST

Filtragem com base no IP da interface

  • 772

Tenho uma interface local no meu firewall que tem vários endereços IP (192.168.0.1 e 192.168.0.5) atribuídos a ela. Pacotes de ambos os IPs são encaminhados para a interface WAN. No entanto, quero aplicar regras de filtragem diferentes dependendo de qual IP local o pacote foi recebido. (A ideia é usar 192.168.0.5 como o gateway para um ponto de acesso sem fio de acesso restrito, enquanto 192.168.0.1 é usado como o gateway para todo o outro tráfego). Tentei fazer isso usando aliases de interface, mas eles não chegam ao iptables e estão obsoletos de qualquer maneira, aparentemente. Como você faria isso?

(Eu consigo fazer esse tipo de filtragem perfeitamente na cadeia INPUT, usando apenas o endereço IP de destino, mas como eu faria isso na cadeia FORWARD?)

linux

1 respostas

  1. Best Answer

    O problema fundamental aqui é que quando seu sistema está encaminhando tráfego (isto é, agindo como um roteador para outros nós em sua rede), ele não tem ideia de qual endereço o outro nó estava usando como gateway padrão. Se você definiu 192.168.0.1ou 192.168.0.5como gateway padrão em outros nós, o processo é mais ou menos assim:

    1. O nó tenta se conectar a um endereço remoto (digamos, 8.8.8.8)
    2. O nó percebe que não tem uma rota direta para 8.8.8.8, então ele verifica se há uma rota padrão
    3. Oba! Existe uma rota padrão!
    4. O nó envia uma solicitação ARP para o endereço do gateway padrão se ainda não tiver o endereço MAC em seu cache
    5. O nó envia um pacote para 8.8.8.8 com o endereço MAC do gateway como o próximo salto

    Isso significa que quando seu roteador recebe o pacote de saída, nada no pacote identifica qual endereço o nó usou para determinar o endereço MAC do gateway.

    Então, o que você pode fazer?

    A solução mais fácil é garantir que todos os nós na sua rede "restrita" tenham endereços alocados de um intervalo de endereços diferente daquele da sua rede "irrestrita". Por exemplo, se sua rede for 192.168.0.0/24, então talvez você tenha alocado endereços irrestritos de 192.168.0.0/25e endereços restritos de 192.168.0.128/25. Isso exigirá algum trabalho com seu servidor DHCP -- uma configuração comum seria criar entradas estáticas para os hosts conhecidos na sua rede restrita e, então, providenciar para que hosts desconhecidos recebam endereços do intervalo restrito.

    Com essa configuração em vigor, você pode usar o endereço de origem das conexões em suas regras de encaminhamento:

    iptables -A FORWARD -s 192.168.0.128/25 -j DROP -m comment --comment "Drop connections from restricted hosts"
iptables -A FORWARD -s 192.168.0.0/25 -j ACCEPT -m comment --comment "Forward connections from unrestricted hosts"

    Se você tiver o equipamento de rede para suportá-lo, poderá mover a rede restrita para uma VLAN separada ; isso permitirá que você tenha um servidor DHCP completamente separado para hosts restritos e permitirá que você use a rede de origem ou a interface de origem em suas regras de filtragem.

    • 1

relate perguntas