Segunda NIC apenas para servir pedidos DHCP

Question

Eu tenho um servidor rodando o Lubuntu com o IP 192.168.1.11/24. O servidor DHCP está executando e distribuindo IPs para toda a sub-rede.

192.168.1.1 é meu roteador doméstico que está roteando todo o outro tráfego para 192.168.0.1, que é o roteador do meu ISP.

Tudo funciona como esperado, o comando route me dá

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         router.asus.com 0.0.0.0         UG    100    0        0 enp0s31f6
192.168.1.0     *               255.255.255.0   U     100    0        0 enp0s31f6

Assim, todo o tráfego é encaminhado via 192.168.1.1.

Agora estou tentando configurar uma segunda NIC no servidor. A única tarefa para este NIC seria distribuir endereços DHCP para a sub-rede 192.168.0.0/24, nada mais.

Meu problema: Assim que configuro o endereço IP estático para 192.168.0.2, a tabela de roteamento é atualizada:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         192.168.1.1     0.0.0.0         UG    100    0        0 enp0s31f6
192.168.0.0     *               255.255.255.0   U     100    0        0 enx00e04c20e315
192.168.1.0     *               255.255.255.0   U     100    0        0 enp0s31f6

Isso faz sentido, claro, já que enx00e04c20e315 agora pertence à sub-rede 192.168.0.0/24 e é certamente mais rápido usar essa rota para a sub-rede.

Eu tentei excluir a rota manualmente, mas não consegui gerenciar.

Como posso configurar o enx00e04c20e315 para lidar com as solicitações DHCP e ainda encaminhar todo o tráfego através de enp0s31f6?

Plano de fundo

A configuração talvez seja um pouco estranha, então deixe-me dar algumas informações. Estou usando VLANs para separar a rede. Há uma VLAN 1 padrão, onde a maioria das portas é. E depois há uma VLAN 2 para WAN. Apenas a porta WAN dos roteadores e o roteador do ISP fazem parte da VLAN 2.

Estou tentando configurar uma WLAN convidada no meu roteador. Para que isso funcione, é necessário que haja um servidor DHCP no lado da WAN do roteador, portanto, na VLAN 2. É por isso que estou configurando uma segunda NIC e também a adicionei à VLAN 2. Agora, se qualquer dispositivo convidado se conectar, ele deve obter o endereço DHCP do servidor e passar diretamente pelo 192.168.0.1 sem nunca alcançar a rede interna.

Muito obrigado

    

Answer 1

Uma opção para isso seria configurar um servidor DHCP em uma VM no sistema e vincular a segunda NIC à VM. Dê a essa VM um endereço IP na rede 192.168.0.0/24. Ele será capaz de distribuir endereços nessa rede, mas reterá algum isolamento seguro da sua rede principal. Você pode vincular uma NIC a uma VM sem atribuir um endereço IP a ela e, assim, mantê-la fora de suas tabelas de roteamento de host.

Observe que isso ainda não é totalmente seguro, pois seu sistema principal permaneceria vulnerável a ataques de camada 2 da rede de convidados, e um comprometimento da VM poderia sair da VM se houvesse um erro de hipervisor. A importância dessas considerações para você depende de quão seguro você está tentando fazer isso.