26890


下図のような構成になっている場合、ルータ側でこのようなことは制御を行うことは可能でしょうか？  
（図示のとおり、各セグメントのデフォルトゲートウェイは末尾254です。）

[![画像の説明をここに入力](https://i.stack.imgur.com/wk4eo.png)](https://i.stack.imgur.com/wk4eo.png)

■やりたい事  
source: 172.16.1.100のクライアントから  
dst: 192.168.1.20へのアクセスだけを許したい  
（同セグメントに存在している192.168.1.200へのアクセスは禁止）

ルータになりうるのはCisco機器 or VyOSなので  
アクセスリストかiptablesどちらかでの対応となります。  
（Cisco機器ではできました）

調べたところソース元IPで制限をかける場合はPBR(ポリシーベースルーティング)?を利用しないとできなさそうなのですが、iptablesでそれを行うことは可能でしょうか？

お詳しい方いらっしゃいましたら経路の制御を行う書き方  
（iptablesでの制御 or VyOSでの書き方）を教えて頂けませんでしょうか？


CC BY-SA 3.0
2016-06-20T00:08:31.940
26874
2016-06-21T00:49:22.360
2016-06-21T00:49:22.360
14384
14384
question
network iptables
ソース元IPでアクセス制限（iptables や access list 等）を行う方法について


ネットマスクの記載がありませんが、/24 と想定しています。  
ルーティングは設定済みで、192.168.3.0/24 <\--> 192.168.1.0/24, 192.168.2.0/24
間はルータを経由して通信できるものとします。

iptables の FORWARD チェインで接続元IPアドレス、接続先IPアドレスのペアで許可／拒否すればいいと思います。

[code]

    iptables -A FORWARD -s 192.168.3.200 -d 192.168.1.10 -j ACCEPT
    iptables -A FORWARD -s 192.168.3.200 -d 192.168.2.10 -j DROP
    
[/code]

こういう単純なことではなく、もっと複雑なことをやろうとしているのでしょうか？  
図では 192.168.1.10 と 192.168.2.10 が同じネットワークセグメントのように見えますし。


CC BY-SA 3.0
2016-06-20T10:08:55.587
26890
2016-06-20T10:08:55.587
4603
26874
answer