作者FUDIRTY (昨天似乎有)
看板Network
標題[問答] 不接受arp reply來擋ping是可行的嗎?
時間Wed Oct 16 12:48:48 2013
各位前輩大家好,我最近剛踏入職場,還在努力學習中,
有一些問題想要請教一下大家,
目前我手上的一台ip分享器,
br0為對內網卡,底下有eth0.0 eth1.0 eth2.0 eth3.0等四個port
小弟目前的課題是要把eth0.0與其他port做隔離,
希望其他port ping不到eth0,
eth0 192.168.1.2
eth1 192.168.1.3
在上網閱讀之後,想出了一個方法,
因為同網段的電腦互ping似乎不會經過bridge,
而是透過arp 應答,取得目的端ip的mac位址,再進行icmp封包的寄發,
那如果在一開始不回應arp rreply的話,是否就可以讓之後的icmp封包寄不到呢?
不知道這樣的想法是不是對的,所以想問一下板上的前輩們.
另外想請問一下,switch如果下ifconfig
會發現br0,eth0,eth1,eth2,eth3的HW address都一樣,
這樣說來eth到底是物理接口還是虛擬接口呢?
萬分感激<(_ _)>
--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 122.146.86.168
1F：推 deadwood:不可行吧，擋掉ARP回應的話除非想跟目的IP連線的設備都 10/16 13:00
2F：→ deadwood:手動指定MAC與IP的對應，不然第二層封包就送不到指定目的 10/16 13:01
我是想說因為機器一開機就會取得eth0的mac位址來給ip,所以之後如果是區網內的電腦的
ARP封包就把它全部擋掉,用這樣的方式來阻擋eth0和其他eth的接觸,不知道這樣
可不可行呢?
※ 編輯: FUDIRTY 來自: 122.146.86.168 (10/16 15:35)
3F：推 deadwood:建議元PO去找一下"VLAN"，不同port設定不同vlan就可以 10/16 15:51
4F：推 zaknafein:可以吧 可是你要怎麼做？ 10/16 16:10
我是想說用VALN的話就等於把4個eth分成兩個VLAN,
如果只是擋封包的話那eth還是在同一個LAN中,
這兩者的意思好像不太相同,因為分享器本身有提供VLAN功能,
所以我先嘗試看看第二種想法,
想法是想說利用防火牆擋住封包,或是在conf裡做一些設定,
不過不知道要怎麼擋,試了iptables.ebtables.arptables,
目前還在嘗試中...
ps.過程中才發現機器上的防火牆對於lan端實在沒什麼防護機制...
※ 編輯: FUDIRTY 來自: 122.146.86.168 (10/16 16:19)
5F：→ posture:1.2跟1.3如果都直接接在分享器上，那iptable應該可擋 10/16 17:11
6F：→ FUDIRTY:1.2跟1.3是IP分享器動態配給電腦的IP 10/16 17:15
7F：→ posture:1.2跟1.3的封包如果一定會經過分享器的話 10/16 17:22
8F：→ posture:iptables -A FORWRD -m physdev -- physdev-in eth0 10/16 17:23
9F：→ posture:-m physdev --physdev-out eth1 -p icmp -j DROP 10/16 17:23
感謝樓上的大大分享,我下了指令之後,總是會出現
No such physdev match: using --physdev-out in the OUTPU
T, FORWARD and POSTROUTING chains for non-bridged traffic is not supported
anymore.
這段訊息我上網查了很久還是不知道為什麼?不過iptables -L 會出現輸入的規則,
但是還是PING得到,我是上網查說iptables不能對beidge內的封包作過濾,
不過不知道是不是對的@@"
※ 編輯: FUDIRTY 來自: 122.146.86.168 (10/16 17:52)
10F：→ posture:你的bridge怎麼做的？linux？brctl show有出現四介面嗎？ 10/16 17:58
11F：→ posture:1.2跟1.3應該都是直接接分享器沒有接在其他switch上沒錯吧 10/16 18:03
12F：→ zhucc:有 VLAN 切 VLAN 最簡單了、直接拆成兩個區網 10/16 20:50
13F：→ zhucc:另外只是要不給ping的話，不能直接 eth0 擋 icmp 嗎？ 10/16 20:51
14F：→ zhucc:而且不給ping的作用是想幹嘛？不給ping還是可以抓到電腦吧？ 10/16 20:52
15F：→ FUDIRTY:謝謝各位大大的幫忙,那我先試試看用VLAN切好了, 10/17 08:43
16F：→ posture:有時就是會遇到客戶只想透通不想多切網段的(泣).原po加油 10/17 09:32
17F：推 deadwood:買台好的switch才是真的，同個VPAN也可以每PORT隔離 10/17 22:36
18F：推 asdfghjklasd:Private VLAN 買Cisco 3560 以上Switch 10/18 00:43