Dotaz: Jak filtrovat provoz mezi domacimi sitemi

[Pavel]

Ahoj, mam router s nasledujici konfiguraci:

eth0 -> ADSL router
eth1 -> lan1
eth2 -> lan2

ADSL router pracuje v bridge rezimu, takze provoz ven jde pres ppp0. Chci, aby obe lokalni site mohly pristupovat ven, ale nedokazaly komunikovat mezi sebou. Prikladam cast konfigurace firewallu (ufw v Ubuntu):

-A POSTROUTING -s 192.168.0.0/24 -o ppp0 -j MASQUERADE (lan1)
-A POSTROUTING -s 192.168.1.0/24 -o ppp0 -j MASQUERADE (lan2)

Chain FORWARD (policy ACCEPT)
-A ufw-before-forward -i !ppp0 -o eth1 -j REJECT
-A ufw-before-forward -i !ppp0 -o eth2 -j REJECT

Problem je v tom, ze mi porad funguje ping mezi sitema lan1 a lan2.

---

---

Odpovědi

[Sten]

V UFW jsou výchozí pravidla povolující některé ICMP pakety (včetně pingu) odkudkoliv kamkoliv. Proto je potřeba ty rejecty vkládat na začátek (-I) místo na konec (-A):

-I ufw-before-forward -i !ppp0 -o eth1 -j REJECT
-I ufw-before-forward -i !ppp0 -o eth2 -j REJECT

[Pavel]

To jsou - ale jen pro INPUT. Prikladam cely vypis FORWARD, ping presto prochazi.

Chain FORWARD (policy ACCEPT 3 packets, 670 bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 REJECT     all  --  !ppp0  eth1    anywhere             anywhere             reject-with icmp-port-unreachable
    0     0 REJECT     all  --  !ppp0  eth2    anywhere             anywhere             reject-with icmp-port-unreachable
 324K  308M ufw-before-logging-forward  all  --  any    any     anywhere             anywhere            
 324K  308M ufw-before-forward  all  --  any    any     anywhere             anywhere            
 324K  308M ufw-after-forward  all  --  any    any     anywhere             anywhere            
 324K  308M ufw-after-logging-forward  all  --  any    any     anywhere             anywhere            
 324K  308M ufw-reject-forward  all  --  any    any     anywhere             anywhere

[MMMMMMMMM]

-I ufw-before-forward -i eth2 -o eth1 -j REJECT
-I ufw-before-forward -i eth1 -o eth2 -j REJECT

nešlo by zkusit rovnou tohle?

[Pavel]

Dekuju. Nechapu sice proc, ale takhle to funguje.

[MMMMMMMMM]

tak to mne už napadá jediné - !ppp0 asi není to samé jako ! ppp0, nebude to tou chybějící mezerou?

[pavlix]

Ono je totiž mnohem lepší v pravidlech firewallu specifikovat, co chci povolit než co chci zakázat.

[pavlix]

Zjednodušeně:

# pakety navázaných spojení
-m state --state ESTABLISHED,RELATED -j ACCEPT
# pakety z eth0
-i eth0 -o ppp0 -j ACCEPT
# pakety z eth1
-i eth1 -o ppp0 -j ACCEPT
# ostatní odmítnout
-j REJECT

[MMMMMMMMM]

Dekuju vsem za odpovedi. Spravne se rozhrani neguje takhle:

-A ufw-before-forward ! -i ppp0 -o eth2 -j REJECT

Nakonec jsem ale jako FORWARD politiku nastavil REJECT a povolil jen provoz ven.