🚀 go-pugleaf

Jermi <jermi@poczta.onet.pl> wrote:
> Na początku miało być inaczej a jest jak jest :). Serwer na linuksie z 
> trzema kartami sieciowymi robiący głównie za router. Ze względu na 
> konfigurację okablowania nad którym nie mam teraz kontroli, wszyscy 
> użytkownicy podłączeni są do tego serwera za pomocą kilku switchy i z punktu 
> widzenia serwera tworzą jedną sieć ethernetową, z której każdy może zobaczyć 
> każdego. Numery IP do LANu muszą być przydzielane za pomocą DHCP i tu w 
> mojej koncepcji pojawił mi się problem. Koncepcja jest taka - kilku 
> użytkowników podłączyć do innej sieci tcpip ale tak, żeby nadal musieli 
> korzystać z DHCP. Wymusiłem nasłuch serwera dhcpd na dwóch katrach 
> sieciowych,

Jedna sieć fizyczna, to dwie karty (na ogół) nie potrzebne.

> skonfigurowałem dhcp, żeby określonym MAC-om przydzielał dany 
> numer właśnie z innej sieci, dałem nawet regułę do firewala typu -I INPUT -i 
> etch2 -m mac --mac-source 00:.... -j REJECT, która miała blokować wejście 
> określonego klienta do drugiej karty i co otrzymuję:
> Klient łączy się do serwera DHCP i za każdy razem otrzymuje adres z sieci 
> przypisanej do karty eth2. Logi mówią, że klient z kartą eth1 gada ale żądzi 
> tylko eth2.

dhcpd ignoruje iptables (przynajmniej częściowo) - działa w trybie raw.

> Tak w ramach ciekawostki to gdy działa blokowanie w iptables to nadal 
> otrzymuje adres z eth2 ale potem nie może korzystać z internetu bo wtedy 
> jest blokowany ale czemu nie wcześniej.

Wywal drugą kartę i przemyśl jeszcze raz.

> Gdzie leży błąd w koncepcji czy rozwiązaniu. 

Różne jądra różnie generują arp-reply przy dwóch kartach wpiętych do jednej
sieci fizycznej (i nie tylko do jednej) ;)

>
> Jedna sieć fizyczna, to dwie karty (na ogół) nie potrzebne.
>
Jak już wspomniałem miało być inaczej - sieć miała być fizyczni podzielona 
na dwa segmenty.
Teraz faktyczni jest niepotrzebna ale jest szansa, że to się zmieni.

> dhcpd ignoruje iptables (przynajmniej częściowo) - działa w trybie raw.
Tylko czemu karta eth2 chce być najważniejsza.
> Wywal drugą kartę i przemyśl jeszcze raz.
Jedną kartę mogę  wyłączyć ale jak ich odseparować?
Teraz wpadłem na jeszcze jeden pomysł. Tylko czy zadziała jak ja chcę a nie 
jak serwer. Podzielić sieć z drugiej karty (tej "ważniejszej") na podsieci 
na podstawie MAC-ów. Resztę już wtedy powinien załatwić firewall 

Jermi <jermi@poczta.onet.pl> wrote:
> 
>>
>> Jedna sieć fizyczna, to dwie karty (na ogół) nie potrzebne.
>>
> Jak już wspomniałem miało być inaczej - sieć miała być fizyczni podzielona 
> na dwa segmenty.
> Teraz faktyczni jest niepotrzebna ale jest szansa, że to się zmieni.
> 
>> dhcpd ignoruje iptables (przynajmniej częściowo) - działa w trybie raw.
> Tylko czemu karta eth2 chce być najważniejsza.
>> Wywal drugą kartę i przemyśl jeszcze raz.
> Jedną kartę mogę  wyłączyć ale jak ich odseparować?

Jak? Przydzielać podsieci (logiczne) po mac-ach na jednej karcie - w czym
problem?

> Teraz wpadłem na jeszcze jeden pomysł. Tylko czy zadziała jak ja chcę a nie 
> jak serwer. Podzielić sieć z drugiej karty (tej "ważniejszej") na podsieci 
> na podstawie MAC-ów. Resztę już wtedy powinien załatwić firewall 

Filtracja podsieci na dwóch różnych kartach w jednej sieci fizycznej to, jak
pisałem, wielki problem - ze względu na błędy (??) w arp-reply linuksa.
 
> 

Użytkownik <pisz_na.mirek@dionizos.zind.ikem.pwr.wroc.pl> napisał w 
wiadomości news:dtc76u$i9f$1@panorama.wcss.wroc.pl...
> Jermi <jermi@poczta.onet.pl> wrote:
>>
>>>
>>> Jedna sieć fizyczna, to dwie karty (na ogół) nie potrzebne.
>>>
>> Jak już wspomniałem miało być inaczej - sieć miała być fizyczni 
>> podzielona
>> na dwa segmenty.
>> Teraz faktyczni jest niepotrzebna ale jest szansa, że to się zmieni.
>>
>>> dhcpd ignoruje iptables (przynajmniej częściowo) - działa w trybie raw.
>> Tylko czemu karta eth2 chce być najważniejsza.
>>> Wywal drugą kartę i przemyśl jeszcze raz.
>> Jedną kartę mogę  wyłączyć ale jak ich odseparować?
>
> Jak? Przydzielać podsieci (logiczne) po mac-ach na jednej karcie - w czym
> problem?

Tak właśnie chcę zrobić. Dokładnie, żeby było jasne: karty z określonymi 
MAC-ami przydzielić do podsieci np 192.168.100.0/255.255.255.224  i 
pozostałe do 192.168.100.0/255.255.255.224 a poniżej co pisałem z tym 
firewalem to miałem na myśli brak możliwości wzajemnego routingu dla tych 
sieci i dalsze zabawy z dostępem do Internetu.


>> Teraz wpadłem na jeszcze jeden pomysł. Tylko czy zadziała jak ja chcę a 
>> nie
>> jak serwer. Podzielić sieć z drugiej karty (tej "ważniejszej") na 
>> podsieci
>> na podstawie MAC-ów. Resztę już wtedy powinien załatwić firewall
>
> Filtracja podsieci na dwóch różnych kartach w jednej sieci fizycznej to, 
> jak
> pisałem, wielki problem - ze względu na błędy (??) w arp-reply linuksa.
>
>>