Как предотвратить доступ одного компьютера к другому через маршрутизатор?

Question

У меня есть собственный компьютер под управлением Windows 7 и другой компьютер под управлением Ubuntu Server 12.0.4. В настоящее время, если у меня есть что-то, работающее в Windows 7 (например, Tomcat), я могу получить к нему доступ в окне Ubuntu, используя маршрутизатор ip (что-то вроде 192.168.0.x) и наоборот. Как мне сделать так, чтобы блок Windows 7 мог получить доступ к блоку Ubuntu, но блок Ubuntu не мог получить доступ к блоку Windows 7? По сути, я хочу разрешить Ubuntu box доступ к Интернету, но не доступ к другим компьютерам за маршрутизатором.

Я попытался настроить правило брандмауэра на коробке Win7 (с помощью брандмауэра Windows), которая имела диапазон локальных IP-адресов моего окна Ubuntu (192.168.0.6) и выбрала «Блокировать соединение», но это, похоже, не имело значения.

Answer 1

Если на сервере Ubuntu должны размещаться службы (например, веб-сервер или tomcat) и эти службы должны быть доступны из Интернета, то вам следует создать демилитаризованную зону (DMZ).

https://en.wikipedia.org/wiki/DMZ_%28computing%29

Сервер будет размещен в DMZ. В зависимости от конфигурации брандмауэра и переадресации портов можно подключаться к узлам внутри DMZ из Интернета. Хосты в DMZ не могут подключаться к хостам во внутренней сети. Хосты во внутренней сети могут получить доступ к хостам внутри DMZ и в Интернете.

Если злоумышленник скомпрометирует сервер внутри DMZ, злоумышленник не сможет напрямую подключиться к узлам внутренней сети. Конечно это зависит от конфигурации. И злоумышленник может попытаться скомпрометировать узлы во внутренней сети, когда они устанавливают соединения со службами на скомпрометированном сервере DMZ.

Некоторые маршрутизаторы предоставляют функциональность DMZ, которую можно включить в интерфейсе конфигурации.

Answer 2

если вы хотите ограничить доступ Ubuntu к другим вещам, вы можете обратиться к iptables, где пакет находится на eth ..., исходящий к 192.xx0 и имеет статус new -j DROP.

это не точный синтаксис, но должен дать вам общее представление. межсетевой экран сбрасывает все новые пакеты, выходящие из Ubuntu, в локальную сеть. Вы должны указать свой маршрутизатор -j ALLOW непосредственно перед этим правилом, чтобы вы всегда могли отправлять новый трафик в Интернет. Так как он блокирует только новые исходящие соединения, у вашего win box не должно быть проблем с запуском сеансов.

Если вы беспокоитесь только о выигрышной системе, установите персональный брандмауэр и заблокируйте то, что нужно заблокировать. если у вас есть приличный кабельный модем, он может позволить вам указать разные IP-адреса между беспроводным и проводным, чтобы они не могли маршрутизировать друг друга.