• Zarejestrowany: 2011-02-03
  • Posty: 61

Temat: Podział sieci LAN i izolacja podsieci

Witam,
Chciałbym na płycie ALIX 2d3 uruchomić dwie sieci LAN jedna o adresie 192.168.20.0 a druga 192.168.30.0.(to juz mam) tak żeby się nie userzy nie widzieli w otoczeniu sieciowym.
Istotne jest to, iz alix posiada osobne interfejsy eth0 i eth1 do których chcę przypisałem powyższe sieci LAN oraz eth2 (WAN).
Wydaje mi się, że nie ma potrzeby stosowania vlan'ów, bo ruch idzie przez interfejsy fizyczne a nie logiczne.
Jak zrobić żeby klient jednej sieci nie widział klienta drugiej, a jednocześnie obaj mieli dostęp do internetu przez interfejs eth2 (skonfigurowany jako WAN).  Chciałem skorzystac z Luci, ale efekty też marne.

2 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,996

Odp: Podział sieci LAN i izolacja podsieci

W firewallu nie zezwalaj na ruch lan1<>lan2. lan2<>wan  i lan1<>wan musisz mieć, ale nie to pierwsze.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

3 Odpowiedź przez VoightKampff

  • Zarejestrowany: 2012-11-11
  • Posty: 14

Odp: Podział sieci LAN i izolacja podsieci

To ma sens tylko jeśli masz grzecznych szkodników, bo będą się widzieć w L2. Wystarczy że któryś z nich zmieni sobie adres IP na jakiś z drugiej podsieci i nawet nie będziesz w stanie tego wychwycić. Jeżeli chcesz kompletnie wyeliminować możliwość komunikacji pomiędzy tymi podsieciami to tylko i wyłącznie switch z vlanami załatwi sprawę.

4 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,996

Odp: Podział sieci LAN i izolacja podsieci

Nie przesadzaj. Można sobie iptables wyciąć wszystko przychodzące na dany interfejs a nie posiadające danej klasy adresowej.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

5 Odpowiedź przez VoightKampff

  • Zarejestrowany: 2012-11-11
  • Posty: 14

Odp: Podział sieci LAN i izolacja podsieci

Nie doczytałem - zrozumiałem że ma te dwie sieci na jednym porcie.

6 Odpowiedź przez lukaszp

  • Zarejestrowany: 2011-02-03
  • Posty: 61

Odp: Podział sieci LAN i izolacja podsieci

Cezary napisał/a:

W firewallu nie zezwalaj na ruch lan1<>lan2. lan2<>wan  i lan1<>wan musisz mieć, ale nie to pierwsze.

Tak zrobiłem, ale za pomocą Luci i nic mi to nie dało.
Czy może leżeć problem po stronie GUI?
Zobiłem zasadę żeby filtrował i rejectował ruch pochodzący z lan1 do lan2 i odwrotnie.
Ping przechodzi, chyba, że ping ma przechodzić, ale dałem protocol ANY, adres na tym interfejsie ANY, a zaznaczyłem tylko device eth0 i eth1.

7 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,996

Odp: Podział sieci LAN i izolacja podsieci

uci show firewall pokaż.

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

8 Odpowiedź przez lukaszp

  • Zarejestrowany: 2011-02-03
  • Posty: 61

Odp: Podział sieci LAN i izolacja podsieci

uci show firewall
firewall.@rule[0]=rule
firewall.@rule[0].name=Allow-DHCP-Renew
firewall.@rule[0].src=wan
firewall.@rule[0].proto=udp
firewall.@rule[0].dest_port=68
firewall.@rule[0].target=ACCEPT
firewall.@rule[0].family=ipv4
firewall.@rule[1]=rule
firewall.@rule[1].name=Allow-Ping
firewall.@rule[1].src=wan
firewall.@rule[1].proto=icmp
firewall.@rule[1].icmp_type=echo-request
firewall.@rule[1].family=ipv4
firewall.@rule[1].target=ACCEPT
firewall.@rule[2]=rule
firewall.@rule[2].name=Allow-DHCPv6
firewall.@rule[2].src=wan
firewall.@rule[2].proto=udp
firewall.@rule[2].src_ip=fe80::/10
firewall.@rule[2].src_port=547
firewall.@rule[2].dest_ip=fe80::/10
firewall.@rule[2].dest_port=546
firewall.@rule[2].family=ipv6
firewall.@rule[2].target=ACCEPT
firewall.@rule[3]=rule
firewall.@rule[3].name=Allow-ICMPv6-Forward
firewall.@rule[3].src=wan
firewall.@rule[3].dest=*
firewall.@rule[3].proto=icmp
firewall.@rule[3].icmp_type=echo-request destination-unreachable packet-too-big time-exceeded bad-header unknown-header-type
firewall.@rule[3].limit=1000/sec
firewall.@rule[3].family=ipv6
firewall.@rule[3].target=ACCEPT
firewall.@rule[4]=rule
firewall.@rule[4].name=Allow-ICMPv6-Input
firewall.@rule[4].src=wan
firewall.@rule[4].proto=icmp
firewall.@rule[4].icmp_type=echo-request destination-unreachable packet-too-big time-exceeded bad-header unknown-header-type router-solicitation neighbour-solicitation
firewall.@rule[4].limit=1000/sec
firewall.@rule[4].family=ipv6
firewall.@rule[4].target=ACCEPT
firewall.@rule[5]=rule
firewall.@rule[5].src=lan
firewall.@rule[5].dest=lan2
firewall.@rule[5].target=REJECT
firewall.@rule[5].family=ipv4
firewall.@rule[5].proto=all
firewall.@rule[5].src_mac=00:0D:B9:XX:XX:76
firewall.@rule[6]=rule
firewall.@rule[6].src=lan2
firewall.@rule[6].dest=lan
firewall.@rule[6].family=ipv4
firewall.@rule[6].proto=all
firewall.@rule[6].target=REJECT
firewall.@rule[6].src_mac=00:0D:B9:XX:XX:75
firewall.@defaults[0]=defaults
firewall.@defaults[0].syn_flood=1
firewall.@defaults[0].input=ACCEPT
firewall.@defaults[0].output=ACCEPT
firewall.@defaults[0].forward=REJECT
firewall.@defaults[0].drop_invalid=1
firewall.@zone[0]=zone
firewall.@zone[0].name=lan
firewall.@zone[0].network=lan
firewall.@zone[0].output=ACCEPT
firewall.@zone[0].forward=REJECT
firewall.@zone[0].input=ACCEPT
firewall.@zone[1]=zone
firewall.@zone[1].name=wan
firewall.@zone[1].network=wan
firewall.@zone[1].output=ACCEPT
firewall.@zone[1].forward=REJECT
firewall.@zone[1].masq=1
firewall.@zone[1].mtu_fix=1
firewall.@zone[1].input=ACCEPT
firewall.@forwarding[0]=forwarding
firewall.@forwarding[0].src=lan
firewall.@forwarding[0].dest=wan
firewall.@include[0]=include
firewall.@include[0].path=/etc/firewall.user
firewall.@zone[2]=zone
firewall.@zone[2].name=lan2
firewall.@zone[2].forward=REJECT
firewall.@zone[2].output=ACCEPT
firewall.@zone[2].network=LAN2
firewall.@zone[2].input=REJECT
firewall.@forwarding[1]=forwarding
firewall.@forwarding[1].dest=wan
firewall.@forwarding[1].src=lan2

To jest listing uci show firewall. chciałbym to ewentualnie wykorzystać na debianie voyager-linux.
Na razie robie wstępne testy na openwrt.
Na marginesie - Koledzy, czy któryś z Was próbował odpalać UNIFI kontroler na alix'e x86?
Czytałem, że troche z tym problem..Dlatego trochę błądzę między openwrt a debianem..
Pozdrawiam

9 Odpowiedź przez Cezary

  • Skąd: Warszawa
  • Zarejestrowany: 2006-02-25
  • Posty: 116,996

Odp: Podział sieci LAN i izolacja podsieci

I przy takiej konfiguracji np. ssh z lan do lan2 Ci działa?

Masz niepotrzebny router, uszkodzony czy nie - chętnie przygarnę go.

Cezary's Strona

10 Odpowiedź przez lukaszp

  • Zarejestrowany: 2011-02-03
  • Posty: 61

Odp: Podział sieci LAN i izolacja podsieci

Chyba wszystko ok w  sprawie firewalla, poprawiłem ręcznie configi i zaczęło działać.
Jak sprawdzałem ping na adres lokalny interfejsów lan routera to one odpowiadają, nie odpowiadają natomiast hosty w sieci
połączone przez te filtrowane interfejsy. Pingi wiem jak zablokować.
Dzięki za pomoc.
P.S. W sprawie tego UniFi czy próbowaliście na openwrt x86?

11 Odpowiedź przez xbartx

  • xbartx
  • Użytkownik
  • Nieaktywny
  • Zarejestrowany: 2012-10-04
  • Posty: 42

Odp: Podział sieci LAN i izolacja podsieci

Interface router mogą odpowiadać ponieważ reguły firewall mogę ich nie dotyczyć. Nie wiem niestety jak jest w przypadku OpenWRT ale w niektórych firewallach tak właśnie jest. Co do izolacji między lan to przyjrzyj się też RPF albo ip spoofing - podejrzewam, że w iptables też da się to spokojnie uzyskać. Niestety dawno już nie miałem kontaktu z iptables, więc się nie wypowiadam jak to zrobić.