안녕하세요 ^^
우분투20.04를 이용하여 방화벽을 만들려고 합니다
환경은 esxi6.7 환경이구요.
우분투에는 nic2개를 주고, 두개의 nic을 브릿지로 묶은 뒤에 ufw(iptables)를 통해 패킷을 제어하고자 했는데,,
패킷은 잘 흐르는데, 막히지가 않네요;
구글링 해보니, 브릿지로 만든 방화벽은 forward체인을 탄다고 하는데, drop룰을 걸어도 핑, ssh접속 등 잘 됩니다 ㅠ
브릿지는 netplan 혹은 brctl을 통해 걸어봤습니더.
저런거 직접 구축할려면 심하면 커널 옵션 변경및 컴파일까지 다 하는 삽질이 따라다니고, 문제 발생시 자작한건 정보 찾기도 어려워요
다른 방화벽들은 규칙들이 1순위 2순위 3순위 이런게 존재하는 이유가 있습니다.
리눅스 계열의 방화벽은 NAT규칙이 들어간 포트에 방화벽 차단 규칙을 넣고 싶으면 별도로 NAT 블랙홀을 만들어야 됩니다.
방화벽 용도가 아닙니다.
방화벽 용도라면 pfsense
네트워크 라우팅 및 공유기 용도라면 openwrt
위와 같이 원래 기능에 맞는 소프트웨어를 사용하세요.
이런 구조로 만들어 두고 bridge 방화벽에서 패킷 컨트롤을 하고 싶다는 것이죠?
물리적으로 구성했을때는 잘 동작할텐데 esxi 로 구성하셨을때는 vswtich설정에서 promisc mode 를 enable 해줘야 bridge 가 동작할 겁니다.
아래처럼 디버깅 해보시기 바랍니다.
1. 브릿지 방화벽에서 tcpdump로 패킷 덤프해서 패킷이 잘 흐르는지 확인
2. 브릿지 방화벽 커널 설정이 ip.forward=1로 되어 있는지 확인(cat /proc/sys/net/ipv4/ip_forward)
3. esxi vswitch에서 promisc mode enable 되어 있는지 확인
bridge 인터페이스 상태도 한번 올려주세요.