作者FUDIRTY (昨天似乎有)
看板Network
标题[问答] 不接受arp reply来挡ping是可行的吗?
时间Wed Oct 16 12:48:48 2013
各位前辈大家好,我最近刚踏入职场,还在努力学习中,
有一些问题想要请教一下大家,
目前我手上的一台ip分享器,
br0为对内网卡,底下有eth0.0 eth1.0 eth2.0 eth3.0等四个port
小弟目前的课题是要把eth0.0与其他port做隔离,
希望其他port ping不到eth0,
eth0 192.168.1.2
eth1 192.168.1.3
在上网阅读之後,想出了一个方法,
因为同网段的电脑互ping似乎不会经过bridge,
而是透过arp 应答,取得目的端ip的mac位址,再进行icmp封包的寄发,
那如果在一开始不回应arp rreply的话,是否就可以让之後的icmp封包寄不到呢?
不知道这样的想法是不是对的,所以想问一下板上的前辈们.
另外想请问一下,switch如果下ifconfig
会发现br0,eth0,eth1,eth2,eth3的HW address都一样,
这样说来eth到底是物理接口还是虚拟接口呢?
万分感激<(_ _)>
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 122.146.86.168
1F：推 deadwood:不可行吧，挡掉ARP回应的话除非想跟目的IP连线的设备都 10/16 13:00
2F：→ deadwood:手动指定MAC与IP的对应，不然第二层封包就送不到指定目的 10/16 13:01
我是想说因为机器一开机就会取得eth0的mac位址来给ip,所以之後如果是区网内的电脑的
ARP封包就把它全部挡掉,用这样的方式来阻挡eth0和其他eth的接触,不知道这样
可不可行呢?
※ 编辑: FUDIRTY 来自: 122.146.86.168 (10/16 15:35)
3F：推 deadwood:建议元PO去找一下"VLAN"，不同port设定不同vlan就可以 10/16 15:51
4F：推 zaknafein:可以吧 可是你要怎麽做？ 10/16 16:10
我是想说用VALN的话就等於把4个eth分成两个VLAN,
如果只是挡封包的话那eth还是在同一个LAN中,
这两者的意思好像不太相同,因为分享器本身有提供VLAN功能,
所以我先尝试看看第二种想法,
想法是想说利用防火墙挡住封包,或是在conf里做一些设定,
不过不知道要怎麽挡,试了iptables.ebtables.arptables,
目前还在尝试中...
ps.过程中才发现机器上的防火墙对於lan端实在没什麽防护机制...
※ 编辑: FUDIRTY 来自: 122.146.86.168 (10/16 16:19)
5F：→ posture:1.2跟1.3如果都直接接在分享器上，那iptable应该可挡 10/16 17:11
6F：→ FUDIRTY:1.2跟1.3是IP分享器动态配给电脑的IP 10/16 17:15
7F：→ posture:1.2跟1.3的封包如果一定会经过分享器的话 10/16 17:22
8F：→ posture:iptables -A FORWRD -m physdev -- physdev-in eth0 10/16 17:23
9F：→ posture:-m physdev --physdev-out eth1 -p icmp -j DROP 10/16 17:23
感谢楼上的大大分享,我下了指令之後,总是会出现
No such physdev match: using --physdev-out in the OUTPU
T, FORWARD and POSTROUTING chains for non-bridged traffic is not supported
anymore.
这段讯息我上网查了很久还是不知道为什麽?不过iptables -L 会出现输入的规则,
但是还是PING得到,我是上网查说iptables不能对beidge内的封包作过滤,
不过不知道是不是对的@@"
※ 编辑: FUDIRTY 来自: 122.146.86.168 (10/16 17:52)
10F：→ posture:你的bridge怎麽做的？linux？brctl show有出现四介面吗？ 10/16 17:58
11F：→ posture:1.2跟1.3应该都是直接接分享器没有接在其他switch上没错吧 10/16 18:03
12F：→ zhucc:有 VLAN 切 VLAN 最简单了、直接拆成两个区网 10/16 20:50
13F：→ zhucc:另外只是要不给ping的话，不能直接 eth0 挡 icmp 吗？ 10/16 20:51
14F：→ zhucc:而且不给ping的作用是想干嘛？不给ping还是可以抓到电脑吧？ 10/16 20:52
15F：→ FUDIRTY:谢谢各位大大的帮忙,那我先试试看用VLAN切好了, 10/17 08:43
16F：→ posture:有时就是会遇到客户只想透通不想多切网段的(泣).原po加油 10/17 09:32
17F：推 deadwood:买台好的switch才是真的，同个VPAN也可以每PORT隔离 10/17 22:36
18F：推 asdfghjklasd:Private VLAN 买Cisco 3560 以上Switch 10/18 00:43