Dotaz: iptables v asus wl500gp

[x.para]

Zdravim vsechny,

potřeboval bych pravidlo, které by mi dokázalo filtrovat provoz na specifický port a hosta. Host je ale připojený na port WL500gp port interního asus switche.

zkoušel jsem nastavit: iptables -A INPUT -j DROP -p tcp --destination-port 554 -i br0 -d 192.168.2.10, ale iptables pravidlo se neuplatni.

Ted nevím, je to tím, že architektura asusu neuplatnuje iptables na trafic který má dst IP z vlastní LAN? Odpovídalo by to protože TCP dump nic nenachytá v případě, že dst IP je LAN IP. Pokud je ale dst IP host z internetu, tak tcpdum provoz nachytá.

koukam na TOTO zapojeni asusu wl500gpV2 a premyslim proc se uplatnuji IPTABLES pravidla pouze pokud packet má dst IP mimo LAN.

věděl by někdo?

---

---

Odpovědi

[Max]

Luku, použij ebtables :)
Teď vážně, iptables neví, co se děje v bridge, od toho je právě ebtables (je součástí každé distribuce).
Zdar Max

[x.para]

dík moc, " iptables neví, co se děje v bridge" tj. přesně ono. ebtables ve FW nemám a entware ktery používám je taky nemá. napadlo mě ještě nějak využít fakt, že při DST IP mimo LAN to na IPTABLES dorazí

[NN]

iptables -A FORWARD -p tcp -d 192.168.2.10 --destination-port 554 -j DROP

[x.para]

díky NN, to samé jak moje předchozí odpověď . Zkoušel jsem FORWARD - nezabírá. Hosta, kterého chci omezit mám připojeného přes br0

[x.para]

To ti nemuze fungovat, anzto jak bylo receno, lokalni provoz se k routeru vubec nedostane, neni k tomu zadnej duvod. Musel bys ten stroj hodit do vlany(to by ti jit melo) a tu routovat = jinej rozsah IP. Ale pocitej s tim, ze ta krabka toho moc neuroutuje => bude to asi pomalejsi.

[R]

Ano, ten interny switch podporuje port-based VLANy, akurat sa to dost debilno konfiguruje (aspon v DD-WRT).

Na tomto routeri s DD-WRT mam urobene 2 ESSID - kazde do inej VLANy, router je pripojeny do switchu trunkom. Chvilu trvalo, kym som to nastavenie VLAN pochopil.

[x.para]

OK pokusím se to pozdeji nějak zrekonfigurovat, kazdopadně aslespoň vim, že to jít takto nemůže