Изпечатай

[melwin]

Добре, не си представих картинката правилно '> .

[eth0]------[switch]-----[klient1]                
                    |
                    |
                    |
                [klient2]

В този случай наистина няма как да не се виждат, освен ако суитча не е "умен".

[VladSun]

Цитат (Mitaka @ Юни 05 2006,11:49)

Накрая: iptables -A INPUT -s 192.168.0.0/24 -d 192.168.3.0/29 -j REJECT

Това правило няма как да действа, защото се отнася за пакети предназначени за самия рутер ( т.е. с поле "dst ip" някое от IP-тата на рутера ).
Ако все пак трябва да се прави нещо с iptables, то е:

Примерен код

iptables -I FORWARD -i eth0 -o eth0 -j DROP

ако eth0 ти е вътрешната LAN карта.
Но, както вече споменаха по-горе, щом са на един физически сегмент няма да ти помогне много с хитреците '>. За arp-proxy - мисля, че след като по routing таблица двете мрежи са зад един и същ интерфейс, то на arp заявки получени от страната на този интерфейс рутера НЯМА да отговаря. Ще отговаря само на заявки към другите интерфейси.
Вече ти казаха - вземи си ще една карта '>

@GigaVolt: може и без up параметър '>

Със сигурност един managed switch с подръжка на 802.1q ще струва повече от една мрежова карта.

[VladSun]

Най-лесно според ще ти е:
1) още една мрежова карта;

или

2) продават едни суичове, на които се слага една ИС дето се програмира предварително кой порт от суича кои други портове да "вижда" - правш два порта да "виждат" само uplinka на суича и си готов '> (заедно с iptables правилото, което ти написах по-горе). Суича струваше около 25 лв., мисля.

[spritable]

Значи положението клони към слагане на 3-та мрежова карта на сървъра за тази 2-ра вътрешна мрежа.

Някой попита каква е топологията на мрежата.

            SERVER
ADSL ->   eth1
              eth0  -> switch -> към 192.268.0.x


Към този switch са вързани всички машини от вътрешната мрежа 192.168.0.х. Барабар с тази машини която искам да изолирам (192.168.3.х).

В крайна сметка след доста четене, най добрия вариянт е 3-та мрежова карта на сървъра. Връзката от 2-та вътрешна мрежа да не минава през switcha на първата, т.е. за сега да са свързани физически етх2 с машината от 3.х, пък по нататък ако ми трябва още машини в 2-та мрежа, ще сложа суйч.

[spritable]

Обаче май се получи по начина който VladSun писа:

Примерен код

iptables -I FORWARD -i eth0 -o eth0 -j DROP

Значи сега мрежата 3.ххх няма пинг към 0.ххх, има само към рутера, което в моя случай е най-удачния вариянт.

Я пробвай на машините от 3-та мрежа да им сложиш мрежова маска 255.255.248.0 и пусни един пинг накъм някоя машинка от 0-вата мрежа да видиш какво ще стане '>