高度なルーターの機能である「ワイヤレス アイソレーション」と同様に、有線クライアントが LAN/VLAN の他のメンバーにアクセスできないようにする必要があります (ただし、インターネットにはアクセスできる必要があります)。
有線デバイス用の 4 つの物理ポートにはそれぞれ静的 IP (以下の xxx66) が割り当てられており、それぞれが独自の VLAN にあります。VLAN 内の他のデバイスにアクセスできないようにしたいと考えています。
ルーターのファイアウォール スクリプトに追加した内容は次のとおりです。
iptables -I FORWARD -s 10.0.1.66 -d 10.0.1.0/24 -p all -j DROP
iptables -I FORWARD -s 10.0.2.66 -d 10.0.2.0/24 -p all -j DROP
iptables -I FORWARD -s 10.0.3.66 -d 10.0.3.0/24 -p all -j DROP
iptables -I FORWARD -s 10.0.4.66 -d 10.0.4.0/24 -p all -j DROP
残念ながら、10.0.1.66 から 10.0.1.116 への ping は実行できます。iptables 設定のその他の部分はすべて期待どおりに動作します。
完全な Iptables 出力は次のとおりです (br0 ～ br3 は VLAN であることに注意してください)。
iptables -L -n -v
Chain INPUT (policy DROP 21 packets, 2322 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT udp -- br3 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53
0 0 ACCEPT tcp -- br3 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
0 0 ACCEPT udp -- br3 * 0.0.0.0/0 0.0.0.0/0 udp dpt:67
0 0 ACCEPT icmp -- br3 * 0.0.0.0/0 0.0.0.0/0
0 0 REJECT tcp -- br3 * 0.0.0.0/0 0.0.0.0/0 reject-with tcp-reset
0 0 REJECT all -- br3 * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
0 0 ACCEPT udp -- br2 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53
0 0 ACCEPT tcp -- br2 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
0 0 ACCEPT udp -- br2 * 0.0.0.0/0 0.0.0.0/0 udp dpt:67
0 0 ACCEPT icmp -- br2 * 0.0.0.0/0 0.0.0.0/0
0 0 REJECT tcp -- br2 * 0.0.0.0/0 0.0.0.0/0 reject-with tcp-reset
0 0 REJECT all -- br2 * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
0 0 ACCEPT udp -- br1 * 0.0.0.0/0 0.0.0.0/0 udp dpt:53
0 0 ACCEPT tcp -- br1 * 0.0.0.0/0 0.0.0.0/0 tcp dpt:53
2 1152 ACCEPT udp -- br1 * 0.0.0.0/0 0.0.0.0/0 udp dpt:67
0 0 ACCEPT icmp -- br1 * 0.0.0.0/0 0.0.0.0/0
0 0 REJECT tcp -- br1 * 0.0.0.0/0 0.0.0.0/0 reject-with tcp-reset
0 0 REJECT all -- br1 * 0.0.0.0/0 0.0.0.0/0 reject-with icmp-host-prohibited
34 2951 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID
369 49487 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
2 180 shlimit tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:22 state NEW
0 0 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
102 8187 ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- br1 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- br2 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- br3 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT 2 -- * * 0.0.0.0/0 224.0.0.0/4
0 0 ACCEPT udp -- * * 0.0.0.0/0 224.0.0.0/4 udp dpt:!1900
Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 DROP all -- * * 10.0.4.66 10.0.4.0/24
0 0 DROP all -- * * 10.0.3.66 10.0.3.0/24
0 0 DROP all -- * * 10.0.2.66 10.0.2.0/24
0 0 DROP all -- * * 10.0.1.66 10.0.1.0/24
1456 377K all -- * * 0.0.0.0/0 0.0.0.0/0 account: network/netmask: 10.0.1.0/255.255.255.0 name: lan
6 328 all -- * * 0.0.0.0/0 0.0.0.0/0 account: network/netmask: 10.0.2.0/255.255.255.0 name: lan1
4 160 all -- * * 0.0.0.0/0 0.0.0.0/0 account: network/netmask: 10.0.3.0/255.255.255.0 name: lan2
18 1136 all -- * * 0.0.0.0/0 0.0.0.0/0 account: network/netmask: 10.0.4.0/255.255.255.0 name: lan3
0 0 ACCEPT all -- br0 br0 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- br1 br1 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- br2 br2 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- br3 br3 0.0.0.0/0 0.0.0.0/0
5 200 DROP all -- * * 0.0.0.0/0 0.0.0.0/0 state INVALID
1367 363K ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 DROP all -- br0 br1 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br0 br2 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br0 br3 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br1 br0 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br1 br2 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br1 br3 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br2 br0 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br2 br1 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br2 br3 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br3 br0 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br3 br1 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- br3 br2 0.0.0.0/0 0.0.0.0/0
3 147 wanin all -- vlan2 * 0.0.0.0/0 0.0.0.0/0
109 15477 wanout all -- * vlan2 0.0.0.0/0 0.0.0.0/0
107 15377 ACCEPT all -- br0 * 0.0.0.0/0 0.0.0.0/0
1 60 ACCEPT all -- br1 * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT all -- br2 * 0.0.0.0/0 0.0.0.0/0
1 40 ACCEPT all -- br3 * 0.0.0.0/0 0.0.0.0/0
3 147 upnp all -- vlan2 * 0.0.0.0/0 0.0.0.0/0
Chain OUTPUT (policy ACCEPT 326 packets, 202K bytes)
pkts bytes target prot opt in out source destination
答え1
ネットワーク層とトラフィックの配信方法について誤解していると思います。
あなたが見逃していると思われるのは、同じ LAN 上のデバイスはレイヤー 2 で通信するということです。トラフィックは、あるネットワーク (LAN) から別のネットワークに移動する場合を除き、レイヤー 3 ルーターを通過せず、レイヤー 2 (MAC など) LAN アドレスを使用して、同じ LAN 上のデバイスからデバイスに直接送信されます。
一部のスイッチは、必要なタイプの分離を提供します。プライベート VLAN を検索してください。また、それぞれに個別の VLAN とアドレスを作成し、デバイスを個別の VLAN に接続することもできます。そうすることで、レイヤー 3 (IPv4 や IPv6 など) のトラフィックが VLAN を越えるのを防ぐことができます。