Второй NIC только для обслуживания запросов DHCP

Question

У меня есть сервер под управлением Lubuntu с IP 192.168.1.11/24. DHCP-сервер работает и раздает IP-адреса для всей подсети.

192.168.1.1 - мой домашний маршрутизатор, который перенаправляет весь другой трафик на 192.168.0.1, который является маршрутизатором моего интернет-провайдера.

Все работает как положено, команда route дает мне

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         router.asus.com 0.0.0.0         UG    100    0        0 enp0s31f6
192.168.1.0     *               255.255.255.0   U     100    0        0 enp0s31f6

Таким образом, весь трафик направляется через 192.168.1.1.

Сейчас я пытаюсь настроить второй сетевой адаптер на сервере. Единственная задача для этого сетевого адаптера - раздавать адреса DHCP для подсети 192.168.0.0/24, и ничего больше.

Моя проблема: как только я настраиваю статический IP-адрес на 192.168.0.2, таблица маршрутизации обновляется:

Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         192.168.1.1     0.0.0.0         UG    100    0        0 enp0s31f6
192.168.0.0     *               255.255.255.0   U     100    0        0 enx00e04c20e315
192.168.1.0     *               255.255.255.0   U     100    0        0 enp0s31f6

Это, конечно, имеет смысл, поскольку enx00e04c20e315 теперь принадлежит подсети 192.168.0.0/24, и этот маршрут, безусловно, быстрее использовать для подсети.

Я пытался удалить маршрут вручную, но не смог справиться.

Как я могу настроить enx00e04c20e315 так, чтобы он просто обрабатывал запросы DHCP и по-прежнему направлял весь другой трафик через enp0s31f6?

Фон

Настройка может быть немного странной, так что позвольте мне дать немного фона. Я использую VLAN для разделения сети. Там по умолчанию VLAN 1, где большинство портов. И еще есть VLAN 2 для WAN. Только порт WAN моего маршрутизатора и маршрутизатор ISP являются частью VLAN 2.

Я пытаюсь настроить гостевой WLAN на моем маршрутизаторе. Чтобы это работало, на стороне глобальной сети маршрутизатора должен быть DHCP-сервер, то есть VLAN 2. Вот почему я настраиваю второй сетевой адаптер, а также добавляю его в VLAN 2. Теперь, если подключено какое-либо гостевое устройство, оно должно получить адрес DHCP от сервера и пройти напрямую через 192.168.0.1, даже не достигнув внутренней сети.

большое спасибо

Answer 1

Для этого можно настроить DHCP-сервер на виртуальной машине в вашей системе и подключить второй сетевой адаптер к виртуальной машине. Дайте этой виртуальной машине IP-адрес в сети 192.168.0.0/24. Он сможет раздавать адреса в этой сети, но сохранит некоторую безопасную изоляцию от вашей основной сети. Вы можете подключить сетевой адаптер к виртуальной машине, не назначая ей IP-адрес, и таким образом не допускать ее в таблицы маршрутизации своего хоста.

Обратите внимание, что это все еще не является полностью безопасным, так как ваша основная система останется уязвимой для атак уровня 2 из гостевой сети, и компрометация виртуальной машины может потенциально вырваться из нее в случае ошибки гипервизора. Насколько эти соображения важны для вас, зависит от того, насколько точно вы пытаетесь это сделать.