https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html Здравствуйте.<br>Имеется роутер на asplinux 9.2. на нем два физических интрефейса, eth0 - интернет, eth1 локальная сеть. На eth1 много виланов. нужно запретить транзитный трафик с определенного mac-адреса в интернет и в локальную сеть. <br>iptables -I FORWARD -m mac --mac-source XX:XX:XX:XX:XX:XX -j DROP<br>работает только в плане трафика между eth0 и eth1, то есть из локальной сети в интернет, внутри локальной сети не работает. tcpdump-ом входящие/исходящие пакеты этой машины прекрасно видны. если логировать эту машину по IP-адресу -<br>iptables -I FORWARD -s XX.XX.XX.XX -j LOG --log-prefix "TEST "<br>лог выглядит таким образом -<br>Jan 22 17:57:45 asp kernel: TEST IN=eth1 OUT=eth1 SRC=XX.XX.XX.XX DST=XX.XX.XX.XX LEN=84 TOS=0x00 PREC=0x00 TTL=126 ID=32901 PROTO=ICMP TYPE=0 CODE=0 ID=1135 SEQ=3191<br>в цепочке INPUT все работает, и в логе присутствует mac-адрес.<br>всякие ухищрения с mark ведут себя точно так же.<br><br>ядро 2.4.22<br>iptables v1.4.10<br><br>заранее спасибо за ответ.<br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#18 Sun, 06 Feb 2011 09:47:19 GMT &gt; IN= OUT=eth0.10 SRC=1.1.1.2 DST=1.1.1.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP <br>&gt; TYPE=8 CODE=0 ID=24372 SEQ=2 <br>&gt; Сравни название интерфейса в моей строчке и в своей?<br><br>да это просто ошибка была, возможно случайно затер. вот так выглядит лог -<br>Feb 6 11:43:32 duc kernel: TEST IN=eth1 OUT=eth1.20 SRC=XX.XX.XX.XX DST=YY.YY.YY.YY LEN=84 TOS=0x00 PREC=0x00 TTL=63 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=25110 SEQ=3<br><br>&gt; Много vlan-ов точно есть? Мне отсюда плохо видно. Вот так примерно -- <br><br>root@duc root~# ip l &#124; grep UP<br>1: lo: &lt;LOOPBACK,UP&gt; mtu 16436 qdisc noqueue<br>2: eth0: &lt;BROADCAST,MULTICAST,PROMISC,UP&gt; mtu 1500 qdisc cbq qlen 1000<br>3: eth1: &lt;BROADCAST,MULTICAST,PROMISC,UP&gt; mtu 1500 qdisc cbq qlen 1000<br>4: eth1.2: &lt;BROADCAST,MULTICAST,PROMISC,UP&gt; mtu 1500 qdisc noqueue<br>6: eth1.20: &lt;BROADCAST,MULTICAST,PROMISC,UP&gt; mtu 1500 qdisc noqueue<br>7: eth1.102: &lt;BROADCAST,MULTICAST,PROMISC,UP&gt; mtu 1500 qdisc noqueue<br>8: eth1.103: &lt;BROADCAST,MULTICAST,PROMISC,UP&gt; mtu 1500 qdisc noqueue<br>9: eth1.104: &lt; https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#17 Sat, 05 Feb 2011 19:38:39 GMT &gt;&gt;На eth1 много виланов.<br>&gt;&gt; Jan 22 17:57:45 asp kernel: TEST IN=eth1 OUT=eth1 SRC=XX.XX.XX.XX DST=XX.XX.XX.XX LEN=84 <br>&gt;&gt; TOS=0x00 PREC=0x00 TTL=126 ID=32901 PROTO=ICMP TYPE=0 CODE=0 ID=1135 SEQ=3191 <br>&gt; А то, что в логе про виланы ничего не видно, это нормально? <br>&gt; (Я просто спросил-)<br><br>Вот я у себя сделал vlan-интерфейс и "поймал" на нём исходящий ping:<br><br>IN= OUT=eth0.10 SRC=1.1.1.2 DST=1.1.1.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=0 DF PROTO=ICMP TYPE=8 CODE=0 ID=24372 SEQ=2<br><br>Сравни название интерфейса в моей строчке и в своей?<br><br>Много vlan-ов точно есть? Мне отсюда плохо видно. Вот так примерно --<br><br># ip l&#124;grep UP<br>1: lo: &lt;LOOPBACK,UP,LOWER_UP&gt; mtu 16436 qdisc noqueue state UNKNOWN<br>2: eth0: &lt;BROADCAST,MULTICAST,UP,LOWER_UP&gt; mtu 1500 qdisc pfifo_fast state UNKNOWN qlen 1000<br>3: eth0.20@eth0: &lt;BROADCAST,MULTICAST,UP,LOWER_UP&gt; mtu 1500 qdisc noqueue state UP<br>4: eth0.10@eth0: &lt;BROADCAST,MULTICAST,UP,LOWER_UP&gt; mtu 1500 qdisc noqueue state UP<br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#16 Sat, 05 Feb 2011 15:44:46 GMT &gt;&gt; в цепочке INPUT все работает, и в логе присутствует mac-адрес.<br>&gt;&gt; всякие ухищрения с mark ведут себя точно так же.<br>&gt;&gt; ядро 2.4.22 <br>&gt; 2._4_.22??<br>&gt; Может оно просто не умеет того, что ты хочешь?<br>&gt; Например, пакеты проходящие через мост с интерфейса на интерфейс стало можно фильтровать <br>&gt; netfilter-ом только примерно с версии ядра 2.6.26 afair.<br><br>не очень понял про мост, с физического интерфейса на физический работает и на 2.4. На одном физическом и нескольких виланах (уже попробовал - 2.6.26 (debian 5.0.8)) по mac-адресу не работает.<br><br>&gt;&gt; iptables v1.4.10 <br>&gt; Э, гм... и _такой (~2.6.36 ядра) новый iptables? Может, и ядро по-новее <br>&gt; взять там же, где?...<br><br>попробовал на ядре 2.6.26<br>iptables v1.4.2<br><br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#15 Sat, 05 Feb 2011 15:12:32 GMT &gt;На eth1 много виланов.<br>&gt; Jan 22 17:57:45 asp kernel: TEST IN=eth1 OUT=eth1 SRC=XX.XX.XX.XX DST=XX.XX.XX.XX LEN=84 <br>&gt; TOS=0x00 PREC=0x00 TTL=126 ID=32901 PROTO=ICMP TYPE=0 CODE=0 ID=1135 SEQ=3191 <br><br>А то, что в логе про виланы ничего не видно, это нормально? (Я просто спросил-)<br><br>&gt; в цепочке INPUT все работает, и в логе присутствует mac-адрес.<br>&gt; всякие ухищрения с mark ведут себя точно так же.<br>&gt; ядро 2.4.22 <br><br>2._4_.22??<br>Может оно просто не умеет того, что ты хочешь?<br>Например, пакеты проходящие через мост с интерфейса на интерфейс стало можно фильтровать netfilter-ом только примерно с версии ядра 2.6.26 afair.<br><br>&gt; iptables v1.4.10 <br><br>Э, гм... и _такой (~2.6.36 ядра) новый iptables? Может, и ядро по-новее взять там же, где?...<br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#14 Sat, 05 Feb 2011 13:42:37 GMT &gt; А можно я повторю? А я всё равно повторю.<br>&gt; Пакеты не попадают туде, где ты их фильтруешь.<br>&gt; РацЫя на танке!<br>&gt; GOTO :BEGIN <br><br>да хоть на БТР-е. выражаясь твоей терминологией, если фильтровать по IP-адресу пакеты попадают, если фильтровать по mac-адресу не попадают. <br>на ядре 2.6.26 и iptables 1.4.2 тоже самое<br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#13 Tue, 25 Jan 2011 08:58:02 GMT А можно я повторю? А я всё равно повторю.<br><br>Пакеты не попадают туде, где ты их фильтруешь.<br>РацЫя на танке!<br><br>GOTO :BEGIN<br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#12 Tue, 25 Jan 2011 08:42:49 GMT &gt;[оверквотинг удален]<br>&gt;&gt; если дропать его по ip-адресу - все работает, по mac-адресу нет.<br>&gt; Локальная сеть в данном случае подразумивает прямое общение в пределах ОДНОЙ сети, <br>&gt; без участия роутера, а не то, что вы подумали.<br>&gt; Если же компы общаются через роутер - то они уже находятся не <br>&gt; в одной локальной сети, а в разных.<br>&gt; Вы видимо неправильно составляете правило для блокировки MAC-адресов. Вот пример: <br>&gt; [code]/sbin/iptables -A INPUT -m mac --mac-source 00:0F:EA:91:04:08 -j DROP[/code] <br>&gt; Здесь ещё есть примеры <br>&gt; http://www.cyberciti.biz/tips/iptables-mac-address-filtering.html <br>&gt; http://ru.wikipedia.org/wiki/Iptables#mac <br><br>так и делаю. работает между eth0 и eth1. если трафик как в примере выше, в пределах одной сетевой карты - не работает.<br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#11 Mon, 24 Jan 2011 10:14:51 GMT &gt; Почему? это какое-то ограничение ipchains? эти два компа общаются в сети через <br>&gt; роутер.<br>&gt; есть трафик - <br>&gt; Jan 22 17:57:45 asp kernel: TEST IN=eth1 OUT=eth1 SRC=XX.XX.XX.XX DST=YY.YY.YY.YY LEN=84 <br>&gt; TOS=0x00 PREC=0x00 TTL=126 ID=32901 PROTO=ICMP TYPE=0 CODE=0 ID=1135 SEQ=3191 <br>&gt; если дропать его по ip-адресу - все работает, по mac-адресу нет.<br><br>Локальная сеть в данном случае подразумивает прямое общение в пределах ОДНОЙ сети, без участия роутера, а не то, что вы подумали.<br>Если же компы общаются через роутер - то они уже находятся не в одной локальной сети, а в разных.<br><br>Вы видимо неправильно составляете правило для блокировки MAC-адресов. Вот пример:<br>[code]/sbin/iptables -A INPUT -m mac --mac-source 00:0F:EA:91:04:08 -j DROP[/code]<br>Здесь ещё есть примеры <br>http://www.cyberciti.biz/tips/iptables-mac-address-filtering.html<br>http://ru.wikipedia.org/wiki/Iptables#mac<br> https://www.solaris.opennet.ru/openforum/vsluhforumID10/4779.html#10 Mon, 24 Jan 2011 10:04:55 GMT &gt; Вы не можете фильтровать трафик, адресованный не вам.<br>&gt; Если 2 компа общаются в локалке между собой, то третий в этой <br>&gt; локалке <br>&gt; никак не может фильтровать трафик взаимодействия этих 2 компов.<br><br>Почему? это какое-то ограничение ipchains? эти два компа общаются в сети через роутер.<br>есть трафик - <br>Jan 22 17:57:45 asp kernel: TEST IN=eth1 OUT=eth1 SRC=XX.XX.XX.XX DST=YY.YY.YY.YY LEN=84 TOS=0x00 PREC=0x00 TTL=126 ID=32901 PROTO=ICMP TYPE=0 CODE=0 ID=1135 SEQ=3191<br>если дропать его по ip-адресу - все работает, по mac-адресу нет.<br>