Как изолировать сеть и разрешить только интернет?

Question

borg333 @borg333

Как изолировать сеть и разрешить только интернет?

Здравствуйте. Настраиваю Cuckoo для тестов и столкнулся с проблемой изолирования.
Дано:
Физ машины
Pfsense 2.4.4-RELEASE-p2 (amd64) Интерфейсы - igb0 (WAN) igb1 (LAN1 10.10.10.0/24) BR0 (LAN2 10.10.20.0/24 мост из 4 mlnx)
Esxi 6.7.0 (Build 8169922) Интерфейсы vSwitch (BR0)
На Esxi поднята Ubuntu 16.04, Интерфейсы ens160 (10.10.20.201) vboxnet0 (192.168.56.1 HOST-ONLY)
В Ubuntu поднят VBOX, на котором поднимается ВМ для теста (WIN7 192.168.56.106)
Вопрос заключается в том, как изолировать 10.10.20.0/24 и 192.168.56.0/24 между собой и оставить только взаимодействие Ubuntu и ВМ на VBOX'e + интернет?

Текущие правила в iptables:

root@cuckoo:/home/cuckoo# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination

Chain FORWARD (policy DROP)
target     prot opt source               destination

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Заранее спасибо.

Вопрос задан более трёх лет назад
446 просмотров

3 комментария

Подписаться 1 Средний 3 комментария

borg333 @borg333 Автор вопроса
Вот так заработало.
iptables -F (удалить все правила) iptables -A FORWARD -s 192.168.56.0/24 -d 10.10.0.0/16 -i vboxnet0 -o ens160 -j DROP iptables -A POSTROUTING -t nat -j MASQUERADE iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT (появился пинг 8.8.8.8 но не резолвятся сайты) iptables -A FORWARD -o ens160 -i vboxnet0 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT (начали резолвиться)

Правильно ли это, не смотря на то, что работает? На сколько этот вариант безопасен? При условии возможности запуска всякого рода вирусов, в т.ч. сетевых, не возникнет ли угроза для основной сети?
Написано более трёх лет назад
Михаил Васильев @Loiqig
borg333, можно ещё добавить запрещающие правила в цепочки INPUT и OUTPUT:
iptables -A INPUT -s 10.10.0.0/16 -j DROP iptables -A OUTPUT -d 10.10.0.0/16 -j DROP

Насколько безопасно вопрос ещё тот, у вас в любом случае остаётся доступ к сети 192.168.56.0/24 где Ubuntu, да и к Интернет доступ есть. Техник различных атак много, тут нужен компетентный взгляд не админа, а безопасника.
Написано более трёх лет назад
Максим Корнеев @MaxLK

borg333, Вы занатили трафик из 192.168.56.1/24 в 10.10.0.1/16. то есть сеть 10.10.0.1/16 полностью доступна всем из сети 192.168.56.1/24. в обратную сторону доступа на создание соединений нет. интернет для 192.168.56.1/24 доступен как для абонентов сети 10.10.0.1/16, то есть на момент подключения к интернет у них будет адрес из сети 10.10.0.1/16.

Написано более трёх лет назад

Пригласить эксперта

Ответы на вопрос 1

Комментировать

Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации

Похожие вопросы

Сетевое администрирование

+1 ещё

Простой
Настроить wake on lan для AnyDesk?
- 3 подписчика
- 8 часов назад
- 499 просмотров
2

ответа
Linux

+2 ещё

Простой
Linux (Ubuntu, Gnome) необходимо небольшое окошко поверх всех остальных окон?
- 1 подписчик
- 9 часов назад
- 149 просмотров
3

ответа
Ubuntu

+1 ещё

Простой
Как запустить несколько команд в bash вместе, но не дожидаясь ответа?
- 2 подписчика
- 20 часов назад
- 168 просмотров
4

ответа
Виртуализация

+1 ещё

Простой
Есть ли возможность добавления места ЖД в Vsphere на горячую?
- 1 подписчик
- вчера
- 37 просмотров
1

ответ
Ubuntu

Простой
Как правильно использовать Docker в Ubuntu?
- 1 подписчик
- вчера
- 91 просмотр
3

ответа
VirtualBox

+1 ещё

Простой
VirtualBox и USB устройство?
- 2 подписчика
- вчера
- 124 просмотра
1

ответ
Компьютерные сети

+2 ещё

Простой
Как пробросить RTSP видеопоток в другую подсеть?
- 1 подписчик
- 22 апр.
- 170 просмотров
1

ответ
Компьютерные сети

+2 ещё

Простой
Как сделать чтобы разные субдомены вели на разные порты одного ip адреса?
- 2 подписчика
- 22 апр.
- 315 просмотров
1

ответ
Ubuntu

+2 ещё

Средний
Как воcстановить работоспособность VM Proxmox?
- 1 подписчик
- 22 апр.
- 83 просмотра
1

ответ
Ubuntu

+2 ещё

Простой
Как подключить Smart KBD Trio 500 к Ubuntu Linux (Bluetooth)?
- 2 подписчика
- 21 апр.
- 110 просмотров
1

ответ
Показать ещё Загружается…

DevOps-инженер/SRE-инженер

FS Travel • Москва

от 260 000 ₽

Middle Fullstack Developer (Laravel + Vue.js) (Contractor, Remote)

Hicaliber

от 2 500 до 3 800 $

Системный администратор

FS Travel • Москва

от 170 000 ₽

Разработка приложения на Flutter

24 апр. 2024, в 19:18

50000 руб./за проект

Сайт с вебзвонками и чатами на react

24 апр. 2024, в 19:05

15000 руб./за проект

Создать Телеграм бота (под запуск курса)

24 апр. 2024, в 18:39

80000 руб./за проект

Вот так заработало.
iptables -F (удалить все правила) iptables -A FORWARD -s 192.168.56.0/24 -d 10.10.0.0/16 -i vboxnet0 -o ens160 -j DROP iptables -A POSTROUTING -t nat -j MASQUERADE iptables -A FORWARD -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT (появился пинг 8.8.8.8 но не резолвятся сайты) iptables -A FORWARD -o ens160 -i vboxnet0 -s 192.168.56.0/24 -m conntrack --ctstate NEW -j ACCEPT (начали резолвиться)

Правильно ли это, не смотря на то, что работает? На сколько этот вариант безопасен? При условии возможности запуска всякого рода вирусов, в т.ч. сетевых, не возникнет ли угроза для основной сети?
borg333, можно ещё добавить запрещающие правила в цепочки INPUT и OUTPUT:
iptables -A INPUT -s 10.10.0.0/16 -j DROP iptables -A OUTPUT -d 10.10.0.0/16 -j DROP

Насколько безопасно вопрос ещё тот, у вас в любом случае остаётся доступ к сети 192.168.56.0/24 где Ubuntu, да и к Интернет доступ есть. Техник различных атак много, тут нужен компетентный взгляд не админа, а безопасника.
borg333, Вы занатили трафик из 192.168.56.1/24 в 10.10.0.1/16. то есть сеть 10.10.0.1/16 полностью доступна всем из сети 192.168.56.1/24. в обратную сторону доступа на создание соединений нет. интернет для 192.168.56.1/24 доступен как для абонентов сети 10.10.0.1/16, то есть на момент подключения к интернет у них будет адрес из сети 10.10.0.1/16.

Answer 1 · 2019-06-23 12:42:33

признаться смысл вопроса не понятен. например: "как изолировать 10.10.20.0/24 и 192.168.56.0/24 между собой" - они и так изолированы если Вы не настраивали маршрутизацию между ними. совершенно не понятно зачем в виртуальной машине делать виртуальную машину. Вы мало того что перемудрили с виртуализацией, что крайне негативно сказывается на производительности, Вы этим запутали себя в сетях и их маршрутизации. Вы не указали ничего про сеть к которой подключен Esxi. В конечном итоге не совсем понятно что именно Вам нужно. Если Вам нужно пропустить трафик из виртуальной машины запущенной в виртуальной машине то для нее шлюзом надо указывать шлюз в интернет, а на виртуальной машине в которой запущена виртуальная машина для которой нужен инет нужно настроить проброс всего трафика из виртуальной машины на внешний маршрутизатор. Если Вы уберете лишнюю виртуальную машину все станет проще и прозрачнее.

Как изолировать сеть и разрешить только интернет?

Войдите, чтобы написать ответ

Минуточку внимания

Войдите на сайт