Administrace komentářů

dostanu se pouze na bránu 192.168.1.1 nikam jinam přes ní už ne

To bylo také to, co jste v otázce chtěl – respektive tam jste o „nikam jinam“ nepsal nic, a v mém příkladu o tom také nic není. Takže to že se nikam jinam už nedostanete je způsobené zřejmě tím, že máte jako default politiku v řetězci FORWARD nastaveno REJECT. Změňte to na ACCEPT a bude vám to fungovat.

S POSTROUTINGem ani VLAN nic vymýšlet nemusíte, stačí si uvědomit, jak funguje IP – pakety mají zdrojovou IP adresu a cílovou IP adresu, ta se v průběhu přepravy paketu nemění (pokud někde není NAT). Směrování v jednotlivých sítích se dělá pomocí směrovacích tabulek, ve kterých se vybírá další destinace pro linkovou vrstvu – IP adresa cíle se nemění. Takže pokud ve vaší síti chcete udělat to, aby se přes router nedalo dostat do sítě 192.168.1.0/24, ale kamkoli jinam ano, prostě zakážete komunikaci s cílovou IP adresou z rozsahu 192.168.1.0/24 a ostatní povolíte. Že ta komunikace ven jde přes nějaký další router, který má shodou okolností IP adresu 192.168.1.1 vás nemusí zajímat (ostatně může se změnit topologie sítě a ta cesta „ven“ půjde jinudy, přece nemůžete neustále sledovat, jak vypadá aktuální routování v síti a tomu přizpůsobovat firewall).

Pokud byste trval na tom, že chcete komunikaci ven povolit pouze v případě, že jde přes 192.168.1.1, je potřeba to ošetřit tím, kterým rozhraním paket odchází. Jestli se nepletu, tak IP adresa pro next-hop slouží jenom pro získání MAC adresy, aby bylo jasné, kam paket poslat na linkové vrstvě – jinak nemá na routování žádný vliv.