Dotaz: Oddělení dvou sítí

[Pavel]

Zdravím, zkouším na routeru, který má dvě síťové karty

eth0 - internet - ip 192.168.1.2
eth1:0 - lokalni sit1 192.168.2.1 maska 255.255.255.0
eth1:1 - lokalni sit2 192.168.3.1 maska 255.255.255.0

oddělit od sebe sit1 a sit2, aby se neviděli. Zkouším např. tento forward ve firewallu, ale nechce mě to fungovat.

iptables -A FORWARD -i eth1 -o eth1 -s 192.168.2.0/24 -d 192.168.3.0/24 -j DROP
iptables -A FORWARD -i eth1 -o eth1 -s 192.168.3.0/24 -d 192.168.2.0/24 -j DROP

Poradil by někdo? Díky

Odpovědi

[Jiří Veselský]

Co to znamená, že se ty sítě nemají vidět?

Uvědomte si, že obě IP sítě máte na stejném fyzickém médiu - takže se "uvidí" vždy. Např. broadcasty kterékoliv stanice uvidí kterákoliv stanice bez ohledu na to, z jaké IP sítě má adresu (a bez ohledu na to, jaká pravidla na routeru nastavíte). Broadcast je L2 mechanismus a router s ním nemá co do činění.

Tím vaším pravidlem sice možná zkomplikujete komunikaci dvou stanic z různých IP sítí, ale v žádném případě ji nedokážete zakázat úplně a ta pravidla lze velmi snadno obejít. Jelikož dvě různé L3 sítě sdílejí stejnou L2 síť, komunikace mezi stanicemi vůbec nemusí jít přes ten váš router...

[Atom321]

Dovolím si doplnit další možné chování, závislé na implementaci IP protokolu na routeru a stanicích:

Router může poznat, že logická zdrojová i cílová síť je na stejné fyzické a jde tedy směrovat přímo. Kromě routování tohoto paketu také pošle odesilateli požadavek na přesměrování - zprávu typu "ICMP Redirect". Odesilatel na ni může (ale nemusí - záleží na implementaci) reagovat tak, že si upraví vlastní routovací tabulku a dále komunikuje s cílovou stanicí přímo, bez routeru.

Výsledek bude ten, že se na firewallu odfiltruje pouze první paket a další budou chodit přímo bez vědomí routeru. Zafunguje to zcela automaticky a vůbec nic nepoznáte.

Jestli to tak bude fungovat, závisí na implementaci a nastavení IP protokolu na routeru i stanicích - toto chování může být zakázano, nebo nemusí být podporováno vůbec. Jde to pochopitelně ověřit sledováním provozu nějakým vhodným nástrojem (např. Wireshark).

[Creckx]

Potřebuješ VLANy, tak koukni do kernelu a pak na nějakou dokumentaci. Pokud to driver k síťovce zvládá neměl bys mít problémy. Co jsem ale zaslech(což nemusí být prava), tak v Linuxu to v VLANy neni to moc slavný, takže popřemejšlej o managovatelnym switchi :)

[Jiří Veselský]

Teda, tomu říkám hodnotný příspěvek:

• Ještě pořád nevíme, co vlastně tazatel přesně chce, takže tvrzení "Potřebuješ VLANy" je přinejmenším nepodložené
• "tak koukni do kernelu" - i za předpokladu, že by VLANy byly tím správným řešením, skutečně není potřeba cokoliv řešit s kernelem
• "Pokud to driver k síťovce zvládá" - pokud ta síťovka nepochází z roku 1876, tak to driver zvládá
• "Co jsem zaslech" - skutečně jste zaslechl naprostou hovadinu
• "popřemejšlej o managovatelným switchi" - ten by byl v případě VLANů zapotřebí naprosto bez ohledu na to, jak moc je to "s VLANama v Linuxu slavný"

Ale protože například nevíme ani to, zda ta síť je metalická nebo ne, protože nevíme, co tazatel chce - váš ultimativní návod k řešení je stejné váhy jako to, co jste zaslechl o VLANech v Linuxu.

[Pavel]

Vše je v metalice. Potřebuji oddělit dvě oddělení, které jsou na rozdílných segmentech 192.168.2.0/24 a 3.0/24, aby se uživatelé v 2.0/24 neviděli s uživateli v 3.0/24.

[Pavel]

internet - eth0 - server - eth1 (eth1:0 a eth1:1) - switch - sit1
                                                           - sit2

[tezkatlipoka]

a jak je to dal, z te sitovky jde kabel do switche, ve kterem jsou napichane PC ze dvou rozsahu?

[Pavel]

switch - UTP - switch1 - PC ze site 1
       - UTP - switch2 - PC ze site 2

[Jiří Veselský]

A smím se zeptat, čeho že jste tímto dosáhl?

Teda pokud je "switch" skutečně jenom obyčejný switch a nechová se nějak magicky, pak skutečně nechápu účel tohoto "řešení".

[Jiří Veselský]

A oddělit znamená, jako že "se nemají vůbec vidět"? Čili byste chtěl něco jako, že v tom routeru nemáte jednu síťovku, ale dvě, na každé z nich jednu tu síť?

Tak pak máte dvě možnosti - buď přidat do routeru síťovku a udělat to přesně takto. Anebo skutečně použít ty 802.1q VLANy, na eth1 nastavit dva různé VLANy, na nich ty IP sítě. No a pak potřebujete switch s podporou 802.1q, na portu do routeru nastavíte trunk, a jednotlivé zbývající porty nastavíte jako přístupové pro tu nebo onu VLANu

[Pavel]

Toto vypadá jako rozumné řešení. Vyzkouším. Díky

[Atom321]

Třetí varianta by byla použít tunel (VPN). To se hodí zejména, pokud nechcete stávající infrastrukturu měnit, ale pouze do ní přilepit jinou oddělenou síť.

Pak by to vypadalo nějak takhle:

internet ------ Router1 ---- síť 1
                              \---- Router2 --- síť 2

Komunikace mezi Routerem 1 a síťí 2 je pak mezi routery 1 a 2 vedená obalovacím protokolem (tunelem), stanice na síti 1 tomuto obalu nerozumí a ignorují ho. Mohou ale zachytávat data speciálními nástroji, tomu lze zabránit šifrováním tunelu.

[Creckx]

Máš pravdu... stačilo napsat VLAN a tazatel by si to dohledal všechno sám. Nikdy jsem s VLANy v Linuxu nedělal (jen jsem si s tim hrál na hromádce switchů), ale v kernelu jsem nějaký volby viděl. Na druhou stranu vím přesně k čemu VLANy jsou a tak se mi zdálo, že je vhodné o tom napsat. Určitě mě nenapadlo, že se do mě opřeš kvůli tomu jak jsem to napsal.

Že nejsi schopen pochopit z toho co tazatel napsal není můj problém, ale tvůj a nemusíš kvůli tomu znehodnocovat co jsem napsal, když vlastně to řešení je nakonec to co tazatel potřebuje.