主页 / server / 问题 / 505045
Accepted
Sebastian Schrader
Asked: 2013-05-05 11:26:10 +0800 CST

iptables：仅匹配具有 VLAN 的接口上未标记的流量

  • 772

据我所知，无法区分iptables主接口上的 VLAN 流量（即使用 vconfig 或 ip link add link 添加虚拟 VLAN 接口的接口；我不知道这是不是正确的术语，我鼓励你纠正我）。

通常这没有问题，因为您可以使用虚拟 VLAN 接口而不是主接口进行匹配，例如

iptables -A INPUT -i eth0.1 -p tcp -m tcp --dport 22 -j ACCEPT

这将允许 TCP 端口 22 (SSH) 数据包到达eth0.1，这些数据包到达时eth0标记有 VLAN-ID 1。

当您只想匹配主接口上未标记的流量时，就会出现问题，例如

iptables -A INPUT -i eth0 -p tcp -m tcp --dport 53 -j ACCEPT

我们的目的是匹配到达 eth0 的 TCP 端口 53 (DNS) 数据包，而没有 VLAN 标记，我们这样做了，但我们也将数据包与到达的任何其他 VLAN 标记进行匹配eth0。

因此，一个可能的解决方法是在规则中包含主接口的 IP 地址/子网。假设我们使用 10.0.0.0/24 oneth0和 10.0.1.0/24 on eth0.1：

iptables -A INPUT -i eth0 -d 10.0.0.0/24 -p tcp -m tcp --dport 53 -j ACCEPT

不幸的是，这有两个缺点：

  1. 我们还匹配具有虚假 IP 地址的数据包，没有什么可以阻止恶意或配置错误的客户端发送具有 10.0.0.0/24 和 VLAN-ID 1 的数据包。一般来说这应该不是问题，因为对该数据包的回答将采用另一条路由返回并且达不到原来的
  2. 它不适用于广播流量，例如不使用接口 IP 地址的 DHCP 。

尤其是后一个问题困扰着我。例如，以下具有不需要的副作用：

iptables -A INPUT -i eth0 -p udp -m udp --dport 67 -j ACCEPT

此规则将匹配 eth0 上的任何传入 DHCP 流量，无论数据包具有哪个 VLAN 标记。如果我们想排除 VLAN-ID 为 1 的 DHCP 流量，我们就迷路了。

有什么建议么？

iptables

3 个回答

  1. Best Answer

    我不认为你的问题是iptables。我有几个盒子充当 VLAN 之间的路由器，并且我匹配未标记的流量，正如您所解释的那样，您正在努力做到没有任何问题。

    我刚刚测试过，我可以在不影响标记接口流量的情况下删除未标记接口上的所有流量：

    # iptables -A FORWARD -i eth0 -j DROP
# ping -nc3 192.168.100.129
PING 192.168.100.129 (192.168.100.129) 56(84) bytes of data.
64 bytes from 192.168.100.129: icmp_seq=1 ttl=64 time=0.180 ms
64 bytes from 192.168.100.129: icmp_seq=2 ttl=64 time=0.176 ms
64 bytes from 192.168.100.129: icmp_seq=3 ttl=64 time=0.153 ms

--- 192.168.100.129 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 1998ms
rtt min/avg/max/mdev = 0.153/0.169/0.180/0.019 ms

    (192.168.100.129存在于VLAN 10/eth0.10)

    我认为您的配置中有错误，或者某处存在错误。

    • 2

  2. iptables在网络堆栈中太高的层上工作，无法正确查看 vlan，我真的很惊讶它能-i eth0.1工作:)

    看看ebtables，它适用于以太网帧，可以自己进行过滤或设置 iptables 使用的标记。

    像这个未经测试的片段这样的东西应该让你开始：

    ebtables -A INPUT --vlan-id ! 1 --jump mark --mark-set 0xff
iptables -A INPUT -i eth0 -p udp -m udp --dport 67 -m mark ! --mark 0xff -j ACCEPT
    • 1

  3. 我认为您应该仅将物理接口用作物理层。您不向该接口分配任何 IP 地址，而是创建虚拟接口，绑定到eth0该接口将负责 IP 传输。

    • 0

相关问题