안녕Ȣ16;세요,
현1116; 네트워크 구성1060; 다1020;과 같1008; 상황1077;니다.
------------------------------------------
외ǥ12;ኖ1; ---> 특1221; IP 차단(0169;화ǣ17;) 용 브ና1;1648; CentOS 머신 ---> Ǻ16;매니1648;드 스위치 ---> 호스트 머신들 (약 100대 가량)
------------------------------------------
호스트 머신1032; MAC에 따라서 사용 가능한 IP1032; 1228;한1012; .160;고 dz10;습니다.
아무래도 IP 차단용 브ና1;1648; 머신에서 1060;,152; 해결 가능할 ,163; 같1008;데요,
가능Ȣ16;면 추가 1109;비를 들1060;1648; 않고 해결할 수 1080;었1004;면 1339;,192;습니다.
VLAN 구성1012; Ȣ16;면 .104;나 알아봤lj16;데 1060;/111;,172; 아1060;피 Ȣ16;나Ȣ16;나를 다르,172; 할NJ17;Ȣ16;기 위해서lj16; 1201;합Ȣ16;1648; 않1008; ,163; 처/100; 보1060;더라구요.
브ና1;1648; 머신1032; iptables에서 IP와 MAC1012; 매칭시킬 수 1080;나 찾아봤lj16;데 1060;런 0169;법도 1096; 보1060;1648; 않구요.
호스트 머신들1060; 공1064;아1060;피를 사용해야 Ȣ16;lj16; 상황1060;라 NAT 구성도 Ǻ12;/140;운 상황1077;니다.
ᕬ1;시 0169;법1012; 아시lj16; ǥ16;1060; 1080;1004;시다면 공유 ǥ12;ᓠ1;드리,192;습니다.
브릿지 머신에서 핑은 안 가지만 아이피 할당은 정상적으로 되고
다른 머신에서도 정상적으로 접속이 되어버리네요.
이 방법을 사용하려면 모든 머신의 arp table에 static으로 넣어줘야 할 것 같은데, 이건 사실상 좀 어려울 것 같습니다 ㅠㅠ
뭐 이런게 전문 장비가 존재하는 이유겠죠.....
워낙 제가 글을 잘 못 써서... 글의 요지가 잘 나타난 것 같지 않아 비슷한 기능을 남겨드립니다.
수작업으로 비슷하게 구현하려면 노가다는 어쩔 수 없는듯 합니다...
iptables -t FORWARD -A INPUT -i eth1 -m mac --mac-source 12:34:56:12:34:56 -s 192.168.100.1 -j ACCEPT
iptables -t FORWARD -A INPUT -i eth1 -m mac --mac-source 12:34:56:12:34:56 -s 133.111.69.74 -j ACCEPT
iptables -t FORWARD -A INPUT -i eth1 -j DROP
iptables -P FORWARD DROP
bridge network은 host에서 나가는 mac을 (guest의 mac으로)변조하는 개념이라 어느 host에서 나온건지 브릿지용 머신에서는 판단할 수 없습니다.
매니지먼트 스위치를 이용해서 IP가 아닌 물리적인 LAN포트 당 MAC개수를 제한하는것이 하나의 방법일듯 싶습니다.
좀 더 복잡하게는 호스트마다 다른 vlan을 주고 브릿지용 머신에서 해당 vlan들을 브릿지&필터할수도 있을거같구요
호스트머신이라 해서 당연히 VM인줄 알았네요ㅠㅠㅠㅠ
mac 에 대한 ACL 은 앞서 분들이 언급한데로 src ip 와 src mac 을 매칭시켜서 필터링하구요