iptables: लैन पर मल्टिकास्ट और अन्य ट्रैफिक की अनुमति, वान को नहीं

Question

मेरे पास wlan0LAN और eth0WAN के बीच NAT राउटर के रूप में लिनक्स 3.10 मशीन का कामकाज है । मैं लैन पर मशीनों के बीच सभी संचार की अनुमति देना चाहता हूं (वे भरोसेमंद हैं) और उन्हें बाहरी रूप से जितना संभव हो उतना कनेक्ट करने की अनुमति दें, लेकिन राउटर और नैटेड मशीनों दोनों के लिए सभी अवांछित आवक यातायात को समाप्त करें।

मैं राउटर और लैन मशीनों दोनों से सभी आउटबाउंड मल्टीकास्ट ट्रैफ़िक को ब्लॉक करना चाहूंगा, क्योंकि लैन प्रशासक ने पहले मेरी मशीन से मल्टीकास्ट ट्रैफ़िक के लिए मुझ पर * चिल्लाया है।

मेरी iptables.rulesफ़ाइल इस तरह दिखती है:

# Generated by iptables-save v1.4.21 on Sun Apr 20 21:38:37 2014
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT ACCEPT [23:2184]
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i wlan0 -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
-A INPUT -p icmp -m icmp --icmp-type 11 -j ACCEPT
-A FORWARD -i eth0 -o wlan0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A OUTPUT -o eth0 -m pkttype --pkt-type multicast -j DROP
COMMIT
# Completed on Sun Apr 20 21:38:37 2014
# Generated by iptables-save v1.4.21 on Sun Apr 20 21:38:37 2014
*nat
:PREROUTING ACCEPT [1643:178375]
:INPUT ACCEPT [1:60]
:OUTPUT ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -o eth0 -j MASQUERADE
COMMIT
# Completed on Sun Apr 20 21:38:37 2014

मैं इसे कैसे संशोधित करूं ताकि लैन क्लाइंट (और राउटर!) एक दूसरे के साथ संवाद कर सकें? क्या OUTPUTनियम सभी मल्टीकास्ट को WAN के लिए छोड़ देता है जैसे मैं चाहता हूं?

* वास्तव में चिल्लाया नहीं है लेकिन पर्याप्त बंद है

Comments

"सभी इनबाउंड ट्रैफ़िक को राउटर और नैटेड मशीनों दोनों के लिए अस्वीकृत करें" मुझे लगता है कि आपका वास्तव में मतलब है "इनबाउंड ट्रैफ़िक एक स्थापित कनेक्शन से संबंधित नहीं है"; सही बात? (कि मूल रूप से एक -m state --state RELATED,ESTABLISHED -j ACCEPTनियम क्या करता है।)

— एक CVn

हाँ, अच्छी बात है। "सभी अवांछित आवक ट्रैफ़िक को छोड़ दें " बेहतर है। संपादित।

— 30

LANs पर अधिकांश मल्टिकास्ट ट्रैफ़िक लिंक-लोकल है, तरह के राउटर और NAT गेटवे आगे नहीं हैं। क्या आप वास्तव में नियमित रूप से बहुरंगी कर रहे हैं जिनके बारे में आपको चिंता करने की आवश्यकता है? क्या आप उस ट्रैफ़िक के लिए गैर-रूट किए गए मल्टीकास्ट पतों का उपयोग करने पर विचार कर सकते हैं?

— आकर्षक बनाएं

गैर-परिवर्तनीय मल्टीकास्ट ठीक है, हालांकि मुझे भेद, @Spiff के बारे में पता नहीं था।

— बत्तीसवें दिन

ठीक है, तो बस अपने मल्टीकास्ट गंतव्य पते को सबनेट-स्थानीय 224.0.0.0/24 (224.0.0.0 - 224.0.0.255) सीमा में रखें, और आपको संभवतः उन्हें आगे रखने के लिए किसी विशिष्ट नियम की आवश्यकता नहीं होगी।

— आकर्षक बनाएं