별도의 로컬 서브넷에있는 장치에 대한 액세스를 차단하는 OpenWRT 설정

다른 서브넷을 통해 인터넷에 액세스 할 수있는 격리 된 서브넷을 만들어야하는 상황이 있습니다. 사진이 더 명확하게 표시 될 수 있습니다.

                                  192.168.5.1
                    LAN               LAN
Internet  +----------+       +----------+      +--------+
     <----+ Router 1 +-------+ Router 2 +------+Device 2|
          | No access|       | OpenWRT  |      |        |
          +------+---+       +----------+      +--------+
              LAN|          WAN                192.168.5.5
                 |       192.168.1.20
            +----+---+
            |Device 1|
            |        |
            +--------+
         192.168.1.50-100

Device 2192.168.1.0 네트워크의 모든 장치에 액세스 할 필요 는 없지만 여전히 인터넷에 액세스 할 수 있습니다.

만질 수 없으며의 Router 1설정으로이 작업을 수행해야합니다 Router 2.

기본 설정 /etc/config/firewall은 LAN에서 WAN으로 모든 것을 전달하므로 장치 1은 장치 2를 ping 할 수 있습니다.

나는 다음 규칙으로 이것을 제한하려고 시도했다.

config rule                                 
        option src lan                                     
        option dest wan                         
        option dest_ip 192.168.1.50            
        option target REJECT

그러나 그것은 속임수를 쓰지 않았습니다. 올바른 방향으로 알려주세요.

방화벽 설정을 설정하는 것 외에도 모든 경로를 192.168.1.0/24가짜 지점 으로 설정하여 고정 라우팅으로 개념적으로 해킹 할 수 있습니까?

networking router openwrt

— 의미있는 엔지니어
소스

따라서“다른 서브넷을 통해 인터넷에 액세스 할 수있는 격리 된 서브넷을 만들어야하는 상황이 있습니다.”이 격리 된 네트워크가 인터넷에 액세스하기를 원합니다. 192.168.1.0 네트워크의 어떤 장치에도 여전히 인터넷에 액세스 할 수 있습니다.”그렇다면 어느 것입니까? 질문 수정

— Ramhound

네트워킹 자체도 있습니다. 또한 첫 번째 그림은 분명하지 않습니다.

— 마샬 크래프트

@Ramhound Device 2가 다른 장치에 직접 액세스 할 수 없다고해서 인터넷 용으로 지정된 패킷을 올바르게 라우팅 할 수 192.168.1.0는 없습니다 Router 2.

— TheMeaningfulEngineer

이것을 Networking SE로 마이그레이션 할 것입니다. 업데이트 : 선택하지 않았습니다. openWRT질문을 설명하기위한 필수 태그 인 태그 가 없습니다 . @marshalcraft 명확하지 않은 내용을 말하면 업데이트하겠습니다.

— TheMeaningfulEngineer

도면에서 네트워크 인터페이스에 레이블을 지정하십시오. Router_1에 두 서브넷을 동시에 처리하는 하나의 "lan"인터페이스 만있는 것이 맞 습니까?

— grawity

일반적으로 비트 수에 따라 네트워크 서브넷을 할당합니다. 예를 들어, 192.158.1.64에서 192.158.1.128까지입니다. 그러나 규칙은 .50 주소를 차단해야합니다. 서브넷을 차단해야하는 경우 아래 예와 같이 비트 수를 추가하십시오.

config rule
    option name     example rule
    option src      lan
    option family   ipv4
    option proto    all
    option dest     wan
    option dest_ip  192.168.1.64/26
    option target   REJECT

귀하의 경우 : 아마도 완전한 192.168.0 / 24 네트워크를 차단 할 것입니다.

— Ljm Dullaart
소스