Stehe auf dem Schlauch - Kommunikation zwischen Interfacen verbieten

Tobi

Hallo,

irgendwie sehe ich den Wald vor lauter Bäume nicht :(
Ich habe APU2 Board mit WAN und LAN0-LAN4. Wie verbiete ich die Kommunikation zwischen den LAN0-LAN4 (IPv4 und IPv6)?

Exordium

Aus dem Kopf… Beispielhaft für LAN1 -> LAN2

Action: Block

Interface: LAN1

Address-Family: IPv4+IPv6

Protokoll: *Any

Source: LAN1 net

Dest: LAN2 net

Besser wäre es, die Netze in entsprechenden Alias(e) zu verpacken. Dann sparst paar Regeln.

Tobi

Danke.

Das "LanX net" als Quelle/ Ziel habe ich einfach immer überlesen

Exordium

Was auch funktionieren müsste:

Du könntest aber auch die Option setzen, Traffic am gleichen Interface prinzipiell zu erlauben (System -> Advanced -> Firewall & NAT -> Bypass firewall rules for traffic on the same interface) und z.B. in alle anderen Bogons verbieten (Wenn die Interfaces LAN1-LAN4 private Netze sind.) Was man hier dann für IPv6 spezifizieren muss/kann weiß ich allerdings nicht.

JeGr

Private Netze, nicht Bogons. Bogons sind nur Netze, die momentan nicht vergeben sind. Und auf LANs sollte man kein RFC1918 Haken setzen, das könnte ins Auge gehen. Dann lieber selbst ein eigenes Alias definieren und eine Regel damit machen, das erspart Ärger da man die Reihenfolge selbst festlegen kann. Somit

Allow für spezifische IPs aus LAN 2
Block für LAN 1 -> LAN 2
Allow any für LAN 1 (was dann alles außer LAN 2 enthält).

Gruß

Tobi

Ich habe das erst mit

1. Erlaube von any bestimmte Dienste im LAN0
2. Block alles von LAN1 zu LAN0
3. Block alles von LAN2 zu LAN0
usw.

Wo ich jetzt aber etwas verunsichert bin ist WAN zu LAN0. Und zwar wie ist das wegen VPN, wenn ich sagg alles von WAN Interface blockieren? Muss für VPN irgendeine extra Regel erstellt werden? Es ist so, dass nach der Verbindungsaufbau der Rechner IP aus dem LAN0 Bereich bekommt.

Exordium

@JeGr:

Private Netze, nicht Bogons. Bogons sind nur Netze, die momentan nicht vergeben sind. Und auf LANs sollte man kein RFC1918 Haken setzen, das könnte ins Auge gehen. Dann lieber selbst ein eigenes Alias definieren und eine Regel damit machen, das erspart Ärger da man die Reihenfolge selbst festlegen kann.

Manuell ist natürlich immer besser und übersichtlicher… War auch nur ne spontane Idee.