2 VLANy na sebe vidí, ale chci, aby se neviděly (vyřešeno)

Ahoj, řeším takovýto problém:

Mám server (debian), kde jsou 3 síťovky.

eth1 - připojení k ISP
eth0 - LAN (192.168.1.0/24)
ens1 - LAN (192.168.70.0/24)
ens1.71 - VLAN (192.168.71.0/24)
ens1.72 - VLAN (192.168.72.0/24)

VLANy mám v interfaces nastaveny takto:

iface ens1.71 inet static
        address 192.168.71.1
        netmask 255.255.255.0
        broadcast 192.168.71.255
        network 192.168.71.0
        vlan-raw-device ens1

obdobně ens1.72

Nechci, aby se PC z VLAN 71 a 72 navzájem viděly a aby neviděly ani LAN eth0. Ovšem PC z VLAN 71 klidně opingá PC z VLAN 72, dokonce i PC ze subnetu 192.168.1.0/24.

Když switch, na kterém jsou VLANy odpojím od serveru, tak už na sebe navzájem nevidí, takže si myslím, že se vidí právě přes server.

Já ale netuším, kde mám hledat problém. Myslel jsem, že stačí nastavit na serveru VLANy a ty se automaticky nevidí, nebo musím na fw zakázat vzájemnou komunikaci?

Děkuji za jakýkoliv nástřel...

nebo proste vypni forwarding..

2.3.2018 10:18 Josef Kufner | skóre: 70
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Tím by asi vypnul i něco, co vypnout nechce.

Hello world ! Segmentation fault (core dumped)

2.3.2018 10:21 NN
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Jestli je to server a neroutuje to, tak by klidne mohl. Pravidla samozrejme udelaji stejnou praci.

2.3.2018 10:38 semtex | skóre: 24 | blog: semtex
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

No on je to současně gw, takže pro mě bude schůdnější ponechat forwarding a nastavit fw...

2.3.2018 10:19 semtex | skóre: 24 | blog: semtex
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Teď si nejsem )plně jistý...

Já nastavuju toto:

echo "1" > /proc/sys/net/ipv4/ip_forward

Myslíš, toto vypnout? Pokud ano, tak pak mi ale nebude fungovat připojení ven z LANů???

2.3.2018 10:22 Josef Kufner | skóre: 70
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Přesně tak. Prostě nastav firewall a je to. VLAN je sice virtuální, ale pořád se to chová jako běžná sít, není tedy důvod, aby tam běžné routování nefungovalo.

Hello world ! Segmentation fault (core dumped)

2.3.2018 10:38 semtex | skóre: 24 | blog: semtex
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Ok, super, děkuji, forwardování rušit nebudu, pouze nastavím pravidla pro zákaz komunikace mezi jednotlivými vlany... Sice jich bude trochu víc (těch VLANů bude nakonec 7), ale to neva ;-)

Každopádně moc děkuji...

2.3.2018 10:54 Josef Kufner | skóre: 70
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Spíš to nastav opačně. Zakaž vše a povol jen to, co chceš. Pokud tam budeš mít fyzickou LAN, Internet a nějaké VLANy, tak povolíš LAN–Internet a zbytek spadne do výchozího zákazu.

Hello world ! Segmentation fault (core dumped)

2.3.2018 12:37 semtex | skóre: 24 | blog: semtex
Rozbalit Rozbalit vše Re: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Máš pravdu, udělal jsem to takto (a vypadá, že funguje tak, jak potřebuji):

iptables -P FORWARD DROP
iptables -A FORWARD -s 192.168.1.0/24 -d 0/0 -o eth1 -j ACCEPT
iptables -A FORWARD -d 192.168.1.0/24 -s 0/0 -i eth1 -j ACCEPT
iptables -A FORWARD -s 192.168.71.0/24 -d 0/0 -o eth1 -j ACCEPT
iptables -A FORWARD -d 192.168.71.0/24 -s 0/0 -i eth1 -j ACCEPT
iptables -A FORWARD -s 192.168.72.0/24 -d 0/0 -o eth1 -j ACCEPT
iptables -A FORWARD -d 192.168.72.0/24 -s 0/0 -i eth1 -j ACCEPT

Předpokládám, že takto by to mělo stačit...

Dotaz: 2 VLANy na sebe vidí, ale chci, aby se neviděly

Odpovědi