[問答] 不接受arp reply來擋ping是可行的嗎?

看板Network作者 (昨天似乎有)時間10年前 (2013/10/16 12:48), 編輯推噓5(5推 0噓 13→)
留言18則, 6人參與, 最新討論串1/1
各位前輩大家好,我最近剛踏入職場,還在努力學習中, 有一些問題想要請教一下大家, 目前我手上的一台ip分享器, br0為對內網卡,底下有eth0.0 eth1.0 eth2.0 eth3.0等四個port 小弟目前的課題是要把eth0.0與其他port做隔離, 希望其他port ping不到eth0, eth0 192.168.1.2 eth1 192.168.1.3 在上網閱讀之後,想出了一個方法, 因為同網段的電腦互ping似乎不會經過bridge, 而是透過arp 應答,取得目的端ip的mac位址,再進行icmp封包的寄發, 那如果在一開始不回應arp rreply的話,是否就可以讓之後的icmp封包寄不到呢? 不知道這樣的想法是不是對的,所以想問一下板上的前輩們. 另外想請問一下,switch如果下ifconfig 會發現br0,eth0,eth1,eth2,eth3的HW address都一樣, 這樣說來eth到底是物理接口還是虛擬接口呢? 萬分感激<(_ _)> -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 122.146.86.168
推
10/16 13:00, , 1F
不可行吧，擋掉ARP回應的話除非想跟目的IP連線的設備都
10/16 13:00, 1F
→
10/16 13:01, , 2F
手動指定MAC與IP的對應，不然第二層封包就送不到指定目的
10/16 13:01, 2F
我是想說因為機器一開機就會取得eth0的mac位址來給ip,所以之後如果是區網內的電腦的 ARP封包就把它全部擋掉,用這樣的方式來阻擋eth0和其他eth的接觸,不知道這樣 可不可行呢? ※ 編輯: FUDIRTY 來自: 122.146.86.168 (10/16 15:35)
推
10/16 15:51, , 3F
建議元PO去找一下"VLAN"，不同port設定不同vlan就可以
10/16 15:51, 3F
推
10/16 16:10, , 4F
可以吧　可是你要怎麼做？
10/16 16:10, 4F
我是想說用VALN的話就等於把4個eth分成兩個VLAN, 如果只是擋封包的話那eth還是在同一個LAN中, 這兩者的意思好像不太相同,因為分享器本身有提供VLAN功能, 所以我先嘗試看看第二種想法, 想法是想說利用防火牆擋住封包,或是在conf裡做一些設定, 不過不知道要怎麼擋,試了iptables.ebtables.arptables, 目前還在嘗試中... ps.過程中才發現機器上的防火牆對於lan端實在沒什麼防護機制... ※ 編輯: FUDIRTY 來自: 122.146.86.168 (10/16 16:19)
→
10/16 17:11, , 5F
1.2跟1.3如果都直接接在分享器上，那iptable應該可擋
10/16 17:11, 5F
→
10/16 17:15, , 6F
1.2跟1.3是IP分享器動態配給電腦的IP
10/16 17:15, 6F
→
10/16 17:22, , 7F
1.2跟1.3的封包如果一定會經過分享器的話
10/16 17:22, 7F
→
10/16 17:23, , 8F
iptables -A FORWRD -m physdev -- physdev-in eth0
10/16 17:23, 8F
→
10/16 17:23, , 9F
-m physdev --physdev-out eth1 -p icmp -j DROP
10/16 17:23, 9F
感謝樓上的大大分享,我下了指令之後,總是會出現 No such physdev match: using --physdev-out in the OUTPU T, FORWARD and POSTROUTING chains for non-bridged traffic is not supported anymore. 這段訊息我上網查了很久還是不知道為什麼?不過iptables -L 會出現輸入的規則, 但是還是PING得到,我是上網查說iptables不能對beidge內的封包作過濾, 不過不知道是不是對的@@" ※ 編輯: FUDIRTY 來自: 122.146.86.168 (10/16 17:52)
→
10/16 17:58, , 10F
你的bridge怎麼做的？linux？brctl show有出現四介面嗎？
10/16 17:58, 10F
→
10/16 18:03, , 11F
1.2跟1.3應該都是直接接分享器沒有接在其他switch上沒錯吧
10/16 18:03, 11F
→
10/16 20:50, , 12F
有 VLAN 切 VLAN 最簡單了、直接拆成兩個區網
10/16 20:50, 12F
→
10/16 20:51, , 13F
另外只是要不給ping的話，不能直接 eth0 擋 icmp 嗎？
10/16 20:51, 13F
→
10/16 20:52, , 14F
而且不給ping的作用是想幹嘛？不給ping還是可以抓到電腦吧？
10/16 20:52, 14F
→
10/17 08:43, , 15F
謝謝各位大大的幫忙,那我先試試看用VLAN切好了,
10/17 08:43, 15F
→
10/17 09:32, , 16F
有時就是會遇到客戶只想透通不想多切網段的(泣).原po加油
10/17 09:32, 16F
推
10/17 22:36, , 17F
買台好的switch才是真的，同個VPAN也可以每PORT隔離
10/17 22:36, 17F
推
10/18 00:43, , 18F
Private VLAN 買Cisco 3560 以上Switch
10/18 00:43, 18F
‣ 更多 FUDIRTY 的文章
文章代碼(AID): #1INXgpck (Network)