como faço para encaminhar * apenas * o proxy http entre as vlans?

Question

Meu roteador tem duas pontes, br0 e br1. Estou compartilhando o acesso Wi-Fi e a sub-rede convidada será 192.168.2.x. A sub-rede inicial será 192.168.1.x.

Eu quero todo o tráfego destinado à porta 80 da rede guest para encaminhar para uma porta proxy em uma caixa na rede doméstica. Esse é o único tráfego que eu quero atravessar as pontes. Como configuro isso com o iptables no roteador?

    

Answer 1

Assumindo que br0 é a rede inicial e br1 o convidado:

iptables -t nat -A PREROUTING -i br1 -p tcp --dport 80 -j DNAT --to-destination 192.168.1.100 # ip of the proxy box

Para configurar o redirecionamento,

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

(verifique se ainda não está lá) para permitir conexões já estabelecidas, simplifica as regras,

iptables -A FORWARD -m state --state NEW -i br1 -o br0 -p tcp --dport 80 -d 192.168.1.100 -j ACCEPT

Permitir conexões da rede de convidados para a caixa de proxy (isso é processado após o DNAT)

iptables -A FORWARD -i br1 -o br0 -j DROP

Proibir todo o outro tráfego entre as pontes.

Seu dispositivo provavelmente já está configurado como um roteador, mas, caso contrário, talvez seja necessário ativar o encaminhamento também:

echo 1 >/proc/sys/net/ipv4/ip_forward