Administrace komentářů

Tak jsem se o kousíček (pro mě významný kus) posunul...
Prosím, mohl bych poprosit o radu, jak nejlépe ošetřit nefungující dva body, viz. níže ?

Funguje
- přístup z wanu na HTTP a HTTPS
- přístup z wanu na OpenVPN
- přístup z wanu na WireGuard
- přístup na SSH je povolen pouze z vyjmenovaných IP
- přístup do internetu z vlan100 a vlan101 pakliže komunikace byla navázána z dané vlan
- funguje maškaráda (záměrně snat)
- funguje prostup z vlan100 do vlany101, ve chvíli, kdy se spojení navazuje v vlan100

Co nefunguje a nedaří se mi od rána zprovoznit...
- přístup z vlan101 do vlan100 pro konkrétní IP - řekněme že pouze IP 10.101.1.11 smí vstupovat do vlan100
- přístup na DNS je povolen na všechny veřejné (např. Google) servery, já bych ale potřeboval povolit/vynutit pro vlanu100 vlastní DNS server na adrese 10.100.1.13 a žádný jiný

Moje aktuální konfigurace nftables vypadá takto...

#!/usr/sbin/nft -f

flush ruleset

table inet filter {
        chain input {
        type filter hook input priority 0; policy drop;

      # accept any localhost traffic
      iif lo accept

      # accept trafic originated from us
      ct state established,related accept

      # drop invalid packets
      ct state invalid counter drop

      # accept http, https from anywhere
      tcp dport { 80,443 } accept

      # accept OpenVPN clients from anywhere
      udp dport 1194 accept comment "OpenVPN in"

      # accept WireGuard clients from anywhere
      udp dport 5180 accept comment "WireGuard in"

      # accept SSH only from this IPs
      tcp dport ssh ip saddr 10.255.255.32 accept comment "SSH in"
      tcp dport ssh ip saddr 10.1.100.11 accept comment "SSH in"
      tcp dport ssh ip saddr 10.1.100.12 accept comment "SSH in"

      # accept icmp from anywhere
      ip protocol icmp accept

      # accept icmpv6 from anywhere
      ip6 nexthdr icmpv6 accept

      #  meta nfproto ipv6 from anywhere
      icmpv6 type { nd-neighbor-advert, nd-neighbor-solicit, nd-router-advert} ip6 hoplimit 1 accept
      icmpv6 type { nd-neighbor-advert, nd-neighbor-solicit, nd-router-advert} ip6 hoplimit 255 counter accept

      # count and reject everithing else
      counter reject with icmpx type admin-prohibited


      }


	chain forward {
		type filter hook forward priority 0; policy drop;
                
                # povolím přístup na internet z vlan100
                iifname "vlan100" oifname "ens192" accept                                       # vlan100  to Internet
                iifname "ens192" oifname "vlan100" ct state related,established accept          # Internet to vlan100

                # povolím přístup na internet z vlan101
                iifname "vlan101" oifname "ens192" accept                                       # vlan101 to Internet
                iifname "ens192" oifname "vlan101" ct state related,established accept          # Internet to vlan101

                # povolím přístup z vlan100 do vlan101
                # pokud se komunikace navazuje z vlan100
                iifname "vlan100" oifname "vlan101" accept                                      # vlan100 to vlan101
                iifname "vlan101" oifname "vlan100" ct state related,established accept         # vlan101 to vlan100

	}


	chain output {
		type filter hook output priority 0;
	}

}


table ip nat {
    chain prerouting {
        type nat hook prerouting priority 0; policy accept;
    }

    chain postrouting {
        type nat hook postrouting priority 100; policy accept;
        ip saddr 10.100.1.0/24 oif "ens192" snat 10.255.255.251
        ip saddr 10.101.1.0/24 oif "ens192" snat 10.255.255.251
    }
}

Předem děkuji.
Petr