Stehe auf dem Schlauch - Kommunikation zwischen Interfacen verbieten

[Tobi]

Hallo,

irgendwie sehe ich den Wald vor lauter Bäume nicht :(
Ich habe APU2 Board mit WAN und LAN0-LAN4. Wie verbiete ich die Kommunikation zwischen den LAN0-LAN4 (IPv4 und IPv6)?

[Exordium]

Aus dem Kopf… Beispielhaft für LAN1 -> LAN2

Action: Block

Interface: LAN1

Address-Family: IPv4+IPv6

Protokoll: *Any

Source: LAN1 net

Dest: LAN2 net

Besser wäre es, die Netze in entsprechenden Alias(e) zu verpacken. Dann sparst paar Regeln.

[Tobi]

Danke.

Das "LanX net" als Quelle/ Ziel habe ich einfach immer überlesen

[Exordium]

Was auch funktionieren müsste:

Du könntest aber auch die Option setzen, Traffic am gleichen Interface prinzipiell zu erlauben (System -> Advanced -> Firewall & NAT -> Bypass firewall rules for traffic on the same interface) und z.B. in alle anderen Bogons verbieten (Wenn die Interfaces LAN1-LAN4 private Netze sind.) Was man hier dann für IPv6 spezifizieren muss/kann weiß ich allerdings nicht.

[JeGr]

Private Netze, nicht Bogons. Bogons sind nur Netze, die momentan nicht vergeben sind. Und auf LANs sollte man kein RFC1918 Haken setzen, das könnte ins Auge gehen. Dann lieber selbst ein eigenes Alias definieren und eine Regel damit machen, das erspart Ärger da man die Reihenfolge selbst festlegen kann. Somit

1. Allow für spezifische IPs aus LAN 2
2. Block für LAN 1 -> LAN 2
3. Allow any für LAN 1 (was dann alles außer LAN 2 enthält).

Gruß

[Tobi]

Ich habe das erst mit

1. Erlaube von any bestimmte Dienste im LAN0
2. Block alles von LAN1 zu LAN0
3. Block alles von LAN2 zu LAN0
usw.

Wo ich jetzt aber etwas verunsichert bin ist WAN zu LAN0. Und zwar wie ist das wegen VPN, wenn ich sagg alles von WAN Interface blockieren? Muss für VPN irgendeine extra Regel erstellt werden? Es ist so, dass nach der Verbindungsaufbau der Rechner IP aus dem LAN0 Bereich bekommt.

[Exordium]

@JeGr:

Private Netze, nicht Bogons. Bogons sind nur Netze, die momentan nicht vergeben sind. Und auf LANs sollte man kein RFC1918 Haken setzen, das könnte ins Auge gehen. Dann lieber selbst ein eigenes Alias definieren und eine Regel damit machen, das erspart Ärger da man die Reihenfolge selbst festlegen kann.

Manuell ist natürlich immer besser und übersichtlicher… War auch nur ne spontane Idee.