[問答] 不接受arp reply來擋ping是可行的嗎?

[FUDIRTY (昨天似乎有)]

各位前輩大家好,我最近剛踏入職場,還在努力學習中,
有一些問題想要請教一下大家,
目前我手上的一台ip分享器,

br0為對內網卡,底下有eth0.0 eth1.0 eth2.0 eth3.0等四個port

小弟目前的課題是要把eth0.0與其他port做隔離,
希望其他port ping不到eth0,

eth0 192.168.1.2
eth1 192.168.1.3

在上網閱讀之後,想出了一個方法,
因為同網段的電腦互ping似乎不會經過bridge,
而是透過arp 應答,取得目的端ip的mac位址,再進行icmp封包的寄發,
那如果在一開始不回應arp rreply的話,是否就可以讓之後的icmp封包寄不到呢?
不知道這樣的想法是不是對的,所以想問一下板上的前輩們.

另外想請問一下,switch如果下ifconfig
會發現br0,eth0,eth1,eth2,eth3的HW address都一樣,
這樣說來eth到底是物理接口還是虛擬接口呢?


萬分感激<(_ _)>

--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 122.146.86.168
推 deadwood:不可行吧，擋掉ARP回應的話除非想跟目的IP連線的設備都
→ deadwood:手動指定MAC與IP的對應，不然第二層封包就送不到指定目的

我是想說因為機器一開機就會取得eth0的mac位址來給ip,所以之後如果是區網內的電腦的
ARP封包就把它全部擋掉,用這樣的方式來阻擋eth0和其他eth的接觸,不知道這樣
可不可行呢?
※ 編輯: FUDIRTY         來自: 122.146.86.168       (10/16 15:35)
推 deadwood:建議元PO去找一下"VLAN"，不同port設定不同vlan就可以
推 zaknafein:可以吧　可是你要怎麼做？
我是想說用VALN的話就等於把4個eth分成兩個VLAN,

如果只是擋封包的話那eth還是在同一個LAN中,

這兩者的意思好像不太相同,因為分享器本身有提供VLAN功能,
所以我先嘗試看看第二種想法,

想法是想說利用防火牆擋住封包,或是在conf裡做一些設定,
不過不知道要怎麼擋,試了iptables.ebtables.arptables,
目前還在嘗試中...

ps.過程中才發現機器上的防火牆對於lan端實在沒什麼防護機制...


※ 編輯: FUDIRTY         來自: 122.146.86.168       (10/16 16:19)
→ posture:1.2跟1.3如果都直接接在分享器上，那iptable應該可擋
→ FUDIRTY:1.2跟1.3是IP分享器動態配給電腦的IP
→ posture:1.2跟1.3的封包如果一定會經過分享器的話
→ posture:iptables -A FORWRD -m physdev -- physdev-in eth0
→ posture:-m physdev --physdev-out eth1 -p icmp -j DROP

感謝樓上的大大分享,我下了指令之後,總是會出現
No such physdev match: using --physdev-out in the OUTPU
T, FORWARD and POSTROUTING chains for non-bridged traffic is not supported
anymore.

這段訊息我上網查了很久還是不知道為什麼?不過iptables -L 會出現輸入的規則,
但是還是PING得到,我是上網查說iptables不能對beidge內的封包作過濾,
不過不知道是不是對的@@"
※ 編輯: FUDIRTY         來自: 122.146.86.168       (10/16 17:52)
→ posture:你的bridge怎麼做的？linux？brctl show有出現四介面嗎？
→ posture:1.2跟1.3應該都是直接接分享器沒有接在其他switch上沒錯吧
→ zhucc:有 VLAN 切 VLAN 最簡單了、直接拆成兩個區網
→ zhucc:另外只是要不給ping的話，不能直接 eth0 擋 icmp 嗎？
→ zhucc:而且不給ping的作用是想幹嘛？不給ping還是可以抓到電腦吧？
→ FUDIRTY:謝謝各位大大的幫忙,那我先試試看用VLAN切好了,
→ posture:有時就是會遇到客戶只想透通不想多切網段的(泣).原po加油
推 deadwood:買台好的switch才是真的，同個VPAN也可以每PORT隔離
推 asdfghjklasd:Private VLAN 買Cisco 3560 以上Switch