Isolar sub-redes na mesma interface

Question

Eu preciso isolar Sub-redes em uma máquina Linux do CentOS que atua como gateway. Eu tenho o seguinte cenário. CentOS

eth0 pub ip addres
eth0.1 192.168.1.1
eth0.2 192.168.2.1

Agora eth0.1 e eth0.2 podem se comunicar, mas eu preciso desabilitar isso. Eu não posso usar VLANs, então eu preciso desabilitar essa comunicação com o IPtables. Alguma idéia?

    

Answer 1

É um pouco complicado. Você pode isolar o tráfego somente que passa pelo seu gateway.

Por exemplo, você pode usar essas regras:

iptables -I FORWARD -s 192.168.1.0/24 -d 192.168.2.0/24 -j DROP
iptables -I FORWARD -d 192.168.1.0/24 -s 192.168.2.0/24 -j DROP

ou:

iptables -I FORWARD -i eth0.1 -o eth0.2 -j DROP
iptables -I FORWARD -o eth0.1 -i eth0.2 -j DROP

Ambas as sub-redes estão na mesma interface física, pelo que só é interessante desde que você tenha controle sobre todos os hosts / dispositivos. Caso contrário, alguém pode ignorar o gateway. Existem muitas maneiras de fazer isso. Por exemplo:

1. alterar o IP para se tornar membro de outra sub-rede
2. muda o IP para outro que não o listado acima
3. definir rota estática e direta para outra sub-rede
4. use IPv6
5. executar o servidor DHCP ...

Resposta curta é que isso não pode ser feito dessa maneira.