À primeira vista, parece que o Debian está esticando os limites para enviar um redirecionamento de ICMP; citando RFC 792 (Protocolo de Internet) .
The gateway sends a redirect message to a host in the following situation. A gateway, G1, receives an internet datagram from a host on a network to which the gateway is attached. The gateway, G1, checks its routing table and obtains the address of the next gateway, G2, on the route to the datagram's internet destination network, X. If G2 and the host identified by the internet source address of the datagram are on the same network, a redirect message is sent to the host. The redirect message advises the host to send its traffic for network X directly to gateway G2 as this is a shorter path to the destination. The gateway forwards the original datagram's data to its internet destination.
Nesse caso, G1 é 10.1.2.1 ( eth1:0 acima), X é 10.1.1.0/24 e G2 é 10.1.1.12 e a origem é 10.1.2.20 (ou seja, G2 and the host identified by the internet source
address of the datagram are **NOT** on the same network ). Talvez isso tenha sido historicamente interpretado de forma diferente no caso de aliases de interface (ou endereços secundários) na mesma interface, mas, falando estritamente, não tenho certeza se deveríamos ver o envio de Debian como redirecionamento.
Dependendo de seus requisitos, talvez seja possível resolver isso fazendo a sub-rede para eth1 algo como 10.1.0.0/22 (endereços de host de 10.1.0.1 - 10.1.3.254 ) em vez de usar aliases de interface para /24 blocos ( eth1 , eth1:0 , eth1:1 , eth1:2 ); Se você fez isso, precisará alterar a máscara de rede de todos os hosts conectados e não conseguirá usar o 10.1.4.x, a menos que tenha expandido para /21 .
EDITAR
Estamos nos aventurando um pouco fora do escopo da pergunta original, mas ajudarei a resolver os problemas de design / segurança mencionados em seu comentário.
Se você quiser isolar os usuários em seu escritório uns dos outros, vamos voltar por um segundo e analisar alguns problemas de segurança com o que você tem agora:
Atualmente, você tem quatro sub-redes em um domínio de broadcast de ethernet. Todos os usuários em um domínio de broadcast não atendem aos requisitos de segurança que você articulou nos comentários (todas as máquinas verão transmissões de outras máquinas e poderiam enviar tráfego espontaneamente para a outra na Camada2, independentemente de seu gateway padrão sendo eth1 , eth1:0 , eth1:1 ou eth1:2 ). Não há nada que o seu firewall Debian possa fazer para mudar isso (ou talvez eu deva dizer que não há nada que o seu firewall Debian deva fazer para mudar isto: -).
- Você precisa atribuir usuários aos Vlans, com base na política de segurança indicada nos comentários. Um Vlan devidamente configurado irá percorrer um longo caminho para corrigir os problemas mencionados acima. Se o seu switch Ethernet não suporta Vlans, você deve ter um que o faça.
- Com relação a vários domínios de segurança que acessam
10.1.1.12, você tem algumas opções:-
Opção 1 : Dado o requisito de que todos os usuários acessem serviços em
10.1.1.12, você pode colocar todos os usuários em uma sub-rede IP e implementar políticas de segurança com Private Vlans (RFC 5517) , supondo que seu switch ethernet suporte isso. Essa opção não exigirá que as regrasiptableslimitem o tráfego dentro do escritório ao ultrapassar limites de segurança (isso é feito com Vlans particulares). -
Opção 2 : você poderia colocar usuários em sub-redes diferentes (correspondentes às Vlans) e implementar as regras
iptablespara implantar suas políticas de segurança
-
Opção 1 : Dado o requisito de que todos os usuários acessem serviços em
- Depois de ter protegido sua rede no nível da Vlan, configure o roteamento baseado na origem políticas para enviar diferentes usuários para fora dos seus vários uplinks.
FYI, se você tiver um roteador que suporte VRFs , algumas delas ficam ainda mais fáceis; IIRC, você tem uma máquina Cisco IOS no local. Dependendo do modelo e da imagem do software que você já possui, a Cisco poderia fazer um trabalho fantástico isolando seus usuários uns dos outros e implementando políticas de roteamento baseadas na origem.