안녕하세요,
현재 네트워크 구성이 다음과 같은 상황입니다.
------------------------------------------
외부망 ---> 특정 IP 차단(방화벽) 용 브릿지 CentOS 머신 ---> 언매니지드 스위치 ---> 호스트 머신들 (약 100대 가량)
------------------------------------------
호스트 머신의 MAC에 따라서 사용 가능한 IP의 제한을 두고 싶습니다.
아무래도 IP 차단용 브릿지 머신에서 이걸 해결 가능할 것 같은데요,
가능하면 추가 장비를 들이지 않고 해결할 수 있었으면 좋겠습니다.
VLAN 구성을 하면 되나 알아봤는데 이렇게 아이피 하나하나를 다르게 할당하기 위해서는 적합하지 않은 것 처럼 보이더라구요.
브릿지 머신의 iptables에서 IP와 MAC을 매칭시킬 수 있나 찾아봤는데 이런 방법도 잘 보이지 않구요.
호스트 머신들이 공인아이피를 사용해야 하는 상황이라 NAT 구성도 어려운 상황입니다.
혹시 방법을 아시는 분이 있으시다면 공유 부탁드리겠습니다.
서명
브릿지 머신에서 핑은 안 가지만 아이피 할당은 정상적으로 되고
다른 머신에서도 정상적으로 접속이 되어버리네요.
이 방법을 사용하려면 모든 머신의 arp table에 static으로 넣어줘야 할 것 같은데, 이건 사실상 좀 어려울 것 같습니다 ㅠㅠ
뭐 이런게 전문 장비가 존재하는 이유겠죠.....
워낙 제가 글을 잘 못 써서... 글의 요지가 잘 나타난 것 같지 않아 비슷한 기능을 남겨드립니다.
수작업으로 비슷하게 구현하려면 노가다는 어쩔 수 없는듯 합니다...
iptables -t FORWARD -A INPUT -i eth1 -m mac --mac-source 12:34:56:12:34:56 -s 192.168.100.1 -j ACCEPT
iptables -t FORWARD -A INPUT -i eth1 -m mac --mac-source 12:34:56:12:34:56 -s 133.111.69.74 -j ACCEPT
iptables -t FORWARD -A INPUT -i eth1 -j DROP
iptables -P FORWARD DROP
bridge network은 host에서 나가는 mac을 (guest의 mac으로)변조하는 개념이라 어느 host에서 나온건지 브릿지용 머신에서는 판단할 수 없습니다.
매니지먼트 스위치를 이용해서 IP가 아닌 물리적인 LAN포트 당 MAC개수를 제한하는것이 하나의 방법일듯 싶습니다.
좀 더 복잡하게는 호스트마다 다른 vlan을 주고 브릿지용 머신에서 해당 vlan들을 브릿지&필터할수도 있을거같구요
호스트머신이라 해서 당연히 VM인줄 알았네요ㅠㅠㅠㅠ
mac 에 대한 ACL 은 앞서 분들이 언급한데로 src ip 와 src mac 을 매칭시켜서 필터링하구요