Перейти к содержанию
Где взять тестовые сборки
Официальное хранилище ПО в виде файлов
  • 0

Возможность фильтрация vlan в бридже

vasek00

Ответ от vasek00,

 Поделиться

Вопрос

14 ответов на этот вопрос

Рекомендуемые сообщения

  • 0
Le ecureuil NetFriend

Le ecureuil

Опубликовано
Опубликовано
  В 10.04.2017 в 08:21, vasek00 сказал:

Интересует возможность фильтрации нескольких vlan в bridge => проход пакетов на нужный порт LAN/vlan.

Показать  

А хоть немного подробнее, с примерами? Я вот ничего не понял.

  • 0
vasek00 Старожил

vasek00

Опубликовано
  • Автор
Опубликовано (изменено) 
1.4 ----- vlan 4 - |
1.5 ----- vlan 4 - |
1.6 ----- vlan 3 --+--- bridge
сеть ---- vlan 3 --|

Очень сложно написано,  да самый простой 1 и 2 порт LAN клиенты - vlan4 (IP - 192.168.1.4 и 5), 3 и 4 порты LAN клиенты - vlan3 (IP - 192.168.1.6 и куда-то в сеть LAN)  все это в мост, ну еще можно и wi-fi например. Адрес на бридже 192.168.1.1. Суть фильтровать трафик между портами с учётом интерфейса.

Клиент 1.4 видит 1.5, но не видит vlan3, в тоже время выход в интернет стандартно на WAN, клиент 1.6 видит vlan3 но не видит vlan4 и опять же выход в интернет на WAN. Или в перспективе 1.6 разрешить видеть только 1.4

 

 

Изменено пользователем vasek00
  • 0
Le ecureuil NetFriend

Le ecureuil

Опубликовано
Опубликовано
  В 10.04.2017 в 11:52, vasek00 сказал: 
1.4 ----- vlan 4 - |
1.5 ----- vlan 4 - |
1.6 ----- vlan 3 --+--- bridge
сеть ---- vlan 3 --|

Очень сложно написано,  да самый простой 1 и 2 порт LAN клиенты - vlan4 (IP - 192.168.1.4 и 5), 3 и 4 порты LAN клиенты - vlan3 (IP - 192.168.1.6 и куда-то в сеть LAN)  все это в мост, ну еще можно и wi-fi например. Адрес на бридже 192.168.1.1. Суть фильтровать трафик между портами с учётом интерфейса.

Клиент 1.4 видит 1.5, но не видит vlan3, в тоже время выход в интернет стандартно на WAN, клиент 1.6 видит vlan3 но не видит vlan4 и опять же выход в интернет на WAN. Или в перспективе 1.6 разрешить видеть только 1.4

 

 

Показать  

Чем вам создание еще одного сегмента в web не подходит?

  • 0
vasek00 Старожил

vasek00

Опубликовано
  • Автор
Опубликовано

Ладно иду в #home.bridges беру порт LAN2, галки использовать и vlan ID получаю его сразу в "br2" ладно идем дальше берем порт LAN1, галки использовать и vlan ID получаю его сразу в "br3" 

br2             8000.xxxxxxxxxxxx       no              eth2.4
br3             8000.xxxxxxxxxxxx       no              eth2.5

и как же запихнуть eth2.4 и eth2.5 из WEB в "Home", идем дальше через замену в config делаем 

interface Bridge2
    description vl45-br
    include FastEthernet0/Vlan4
    include FastEthernet0/Vlan5
    security-level private
    ip dhcp client dns-routes
    ip dhcp client name-servers
    up

interface FastEthernet0/Vlan4
    security-level public
    ip dhcp client dns-routes
    ip dhcp client name-servers
    up

interface FastEthernet0/Vlan5
    security-level public
    ip dhcp client dns-routes
    ip dhcp client name-servers
    up

interface FastEthernet0/2
    rename 2
    switchport mode access
    switchport mode trunk
    switchport trunk vlan 5
    up

interface FastEthernet0/4
    rename 4
    switchport mode access
    switchport mode trunk
    switchport access vlan 4
    up


br2             8000.хххххххххххх       no              eth2.4
                                                        eth2.5

WEB показывает ерунду.

 

 

  • 0
vasek00 Старожил

vasek00

Опубликовано
  • Автор
Опубликовано
  В 10.04.2017 в 15:15, dexter сказал:

Как я понял топикстартер хочет traffic segmentation.

http://www.dlink.ru/up/uploads_media/Traffic_segmentation.pdf

Показать  

Vlan интерфейс привязанный к порту, а Bridge связка интерфейсов. По проще изоляция трафика - туда куда надо и не далее.

  • 0
vasek00 Старожил

vasek00

Опубликовано
  • Автор
Опубликовано (изменено)

Так и не понял смысл - создания нового vlan с закрепленным LAN портом, чтоб он сразу же попадал в bridge. Почему нельзя оставить его интерфейсом vlan, а уже если хочу чтоб он был в bridge то доп.поле в котором есть возможность прописать Bridge2 или что еще.

Ввиду молчания - вывод не интересно в данный момент, но как знать. :smile:

В прошивки используются механизмы фильтрации или ограничения на MAC адресе с применением ebt_*.ko => сам вопрос как можно воспользоваться дынными функциями. В некоторых сторонних прошивках есть в наличие ebtables или в WEB разделы где можно указывать MAC для описанных выше функций.

Самый простой пример клиенту локальной сети "Home", который на LAN получил IP из пула DHCP (раз он от них) запрещен например доступ к 192.168.1.30 с MAC 00:11:22:33:44:55 (на LAN) или к клиентам которые на интерфейсе wi-fi, так как он в bridge Home то ему можно все в настоящие время.

Забыл сказать что в "IP Hotspot" что-то уже есть.

Изменено пользователем vasek00
  • 0
Le ecureuil NetFriend

Le ecureuil

Опубликовано
Опубликовано
  В 14.04.2017 в 05:31, vasek00 сказал:

Так и не понял смысл - создания нового vlan с закрепленным LAN портом, чтоб он сразу же попадал в bridge. Почему нельзя оставить его интерфейсом vlan, а уже если хочу чтоб он был в bridge то доп.поле в котором есть возможность прописать Bridge2 или что еще.

Ввиду молчания - вывод не интересно в данный момент, но как знать. :smile:

В прошивки используются механизмы фильтрации или ограничения на MAC адресе с применением ebt_*.ko => сам вопрос как можно воспользоваться дынными функциями. В некоторых сторонних прошивках есть в наличие ebtables или в WEB разделы где можно указывать MAC для описанных выше функций.

Самый простой пример клиенту локальной сети "Home", который на LAN получил IP из пула DHCP (раз он от них) запрещен например доступ к 192.168.1.30 с MAC 00:11:22:33:44:55 (на LAN) или к клиентам которые на интерфейсе wi-fi, так как он в bridge Home то ему можно все в настоящие время.

Забыл сказать что в "IP Hotspot" что-то уже есть.

Показать  

Сейчас изоляция доступна только между раздельными сегментами (или bridge, или интерфейс vlan). Внутри сегмента настроить изоляцию между клиентами невозможно.

  • 0
vasek00 Старожил

vasek00

Опубликовано
  • Автор
Опубликовано (изменено)
  В 16.04.2017 в 07:37, Le ecureuil сказал:

Сейчас изоляция доступна только между раздельными сегментами (или bridge, или интерфейс vlan). Внутри сегмента настроить изоляцию между клиентами невозможно.

Показать  

Вопрос не возможно практически или в данной прошивке. Речь идет о двух vlan в одном bridge.

Изменено пользователем vasek00
  • 0
Le ecureuil NetFriend

Le ecureuil

Опубликовано
Опубликовано
  В 16.04.2017 в 15:31, vasek00 сказал:

Вопрос не возможно практически или в данной прошивке. Речь идет о двух vlan в одном bridge.

Показать  

Средствами NDMS невозможно, однако через Opkg есть возможность взять ebtables в свои руки и подкрутить - модули ядра для него лежат в пакете opkg-kmod-netfilter.

  • 0
vasek00 Старожил

vasek00

Опубликовано
  • Автор
Опубликовано
  В 17.04.2017 в 07:19, Le ecureuil сказал:

Средствами NDMS невозможно, однако через Opkg есть возможность взять ebtables в свои руки и подкрутить - модули ядра для него лежат в пакете opkg-kmod-netfilter.

Показать  

Маленькая ремарка ebtables не нашел, но модули ядра в прошивке есть о чем писал выше.

  • 0
vasek00 Старожил

vasek00

Опубликовано
  • Автор
Опубликовано
  В 18.04.2017 в 07:44, Le ecureuil сказал:

ebtables есть в Entware или в Debian.

Показать  

Может я не там смотрю по Entware в "opkg list" или там же http://entware-3x.zyxmon.org/binaries/mipsel/Packages.html

  Показать контент

хотя упоминание есть в https://github.com/Entware-ng/Entware-ng/tree/master/package/network/utils/ebtables

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить на вопрос...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку вопросов

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю