LINUX防火墙+CISCO路由器

dongyc2000

准备重新规划的网络结构图..现在用的CISCO路由器和内外网相连..CISCO路由器担当了.NAT+防火墙角色..现在由于公司发展...它已经不太满足当前的需要...现在需要划分子网..更快的速度..
所以我打算按照图示所示..来重新规划网络...最外层用一个机器跑LINUX..用来做NAT和防火墙...这个来连接CISCO路由器...CISCO路由器用做单臂路由器...CISCO路由器和划分子网的交换机相连....
现在就出现了一个问题...在LINUX防火墙上怎么控制各个子网的特定机器上外网....发愁中..如果还是用CISCO路由器来控制的话...就失去了这样规划的意义...望做过类似配置的解答下..谢谢...

CharlesMelody

这图给力。

pangdw

iptables+TC

dongyc2000

这图给力。
CharlesMelody 发表于 2011-07-22 18:13

    纯手工.绘制.....请兄台指教一二...

dongyc2000

iptables+TC
pangdw 发表于 2011-07-22 20:31

    请兄台..详细指点一二.....这种做法我没有做过...

tiankafeiwu

office里面有个叫visio的，那个专业，你这个太业余了，图画的悲催

南极雨

回复 1# dongyc2000


这样规划的真不多见... 你的linux放外面应该是要做个代理吗？
不好做...经过路由器的报文不好区分是子网的哪个机器了...　应该可以根据ＭＡＣ地址来做...
man iptables
。。。
MATCH EXTENSIONS
       iptables can use extended packet matching modules.  These are loaded
       in two ways: implicitly, when -p or --protocol is specified, or with
       the  -m  or  --match  options, followed by the matching module name;
       after these, various extra command line  options  become  available,
       depending on the specific module.  You can specify multiple extended
       match modules in one line, and you can use the -h or --help  options
       after the module has been specified to receive help specific to that
       module.

       The following are included in the base package, and  most  of  these
       can be preceded by a !  to invert the sense of the match.



   mac
       --mac-source [!] address
              Match  source  MAC  address.   It  must  be   of   the   form
              XX:XX:XX:XX:XX:XX.  Note that this only makes sense for pack-
              ets coming from an Ethernet device and entering the  PREROUT-
              ING, FORWARD or INPUT chains.

guo_ing

在这个环境中不能用IPTABLE来做mac绑定，得让交换机来做，然后用iptable来控制哪个IP可以上网。

南极雨

回复 8# guo_ing


为什么不能啊？

dongyc2000

回复  guo_ing


为什么不能啊？
南极雨 发表于 2011-07-26 12:24

    因为...跑LINUX的这台机器的一张网卡是和路由器连接的.....到达LINUX的源数据包...应该是路由器的MAC地址...所以..我很头疼...不知兄台啊有更好的办法..