网卡接口多IP绑定

qscf_520

我在ETH0口上做了多IP，原IP是192.168.1.1 现在ifconfig eth0:0 192.168.2.1做了IP别名

1、想通过阻止192.168.1.0和2.0网段不能互访，请问要怎么做啊？
我用
/sbin/iptables -t mangle -I INPUT -s 192.168.1.0\24 -d 192.168.100.1    -j DROP
或者/sbin/iptables  -I INPUT -s 192.168.1.0\24 -d 192.168.100.0\24    -j DROP
iptables  -I FORWARD -s 192.168.1.0\24 -d 192.168.100.0\24    -j DROP
iptables  -I FORWARD -s 192.168.100.0\24 -d 192.168.1.0\24    -j DROP  
都不能阻止2个网段之间的互访

2、阻止1。0网段直接访问重地址别名IP，但是实际结果可以访问。能否阻止1.0网段访问接口别名IP啊，2.0网段也不可以访问1.1这个IP，同时2个网段不可以互访

q1208c

我怎么没看到这俩网段可以互相访问的设置呢.

qscf_520

你配置好ifconfig eth0:0 192.168.2.1后，默认就可以互通的。

求怎么阻止互通

qscf_520

配置的重地址网段默认可以2个网段互访的。求阻止办法

q1208c

回复 3# qscf_520

我没明白你的 "互通" 到底指的是什么.

按我的理解, 物理上, 同一块网卡, 所以, 二层的包, 一定是收得到的. 但在 第三层上, 192.168.1.1/24 网段的机器如果生成一个 发往 192.168.2.1/24 网段的包, 应该是发给 默认路由, 所以, 192.168.2.1/24 不会直接收到这个包的.

lihongweibj

你可以在FORWARD链内阻止两个网段的互访，因为两个不同的网段互访一定会经过FORWARD链转发，
iptables  -I FORWARD -s 192.168.1.0\24 -d 192.168.100.0\24    -j DROP
iptables  -I FORWARD -s 192.168.100.0\24 -d 192.168.1.0\24    -j DROP  

qscf_520

回复 6# lihongweibj


   也做了这个规则，没用啊。


不好意思，我是这样测试的，我是用1。0网段直接访问重地址别名IP，结果可以访问。能否阻止1.0网段访问接口别名IP啊

lihongweibj

你这是做实验还是实际应用呢？你这种情况应该起子接口是最好的（vlan），但测试也必须不能是本要在本机止测试，因为本地产生的数据包是不会经过FORWARD链的，只有经过本机路由的数据包才会经过FORWARD链。

lihongweibj

回复 7# qscf_520
你这是做实验还是实际应用呢？你这种情况应该起子接口是最好的（vlan），但测试也必须不能是本要在本机止测试，因为本地产生的数据包是不会经过FORWARD链的，只有经过本机路由的数据包才会经过FORWARD链。