Attention avec bridge-utils : le pontage réunit ensemble plusieurs réseaux en un même réseau (domaine de diffusion) au lieu de les isoler. Cela va un peu à l’opposé des VLAN, je trouve. Néanmoins il est possible de faire du filtrage sur un pont avec ebtables voire iptables, donc si c’est mieux pour toi de n’avoir qu’un seul sous-réseau IP commun à toutes les machines (et à la box internet), alors c’est une solution valable. Tu pourras même te passer de DHCP et DNS, la box internet jouant ce rôle.
Pour le filtrage iptables, il y a deux approches opposées :
a) on bloque tout par défaut et on accepte le trafic souhaité ;
b) on accepte tout par défaut et on bloque le trafic indésirable.
Chaque approche a ses avantages et inconvénients. Si on bloque trop, ça coince. Pas assez, on a une passoire…
Les paquets routés d’un réseau à l’autre passent dans la chaîne FORWARD, c’est là qu’il faut filtrer.
Approche a)
On autorise les flux entre internet et chaque VLAN dans les deux sens, et on bloque le reste :
iptables -P FORWARD DROP
iptables -A FORWARD -i eth1 -o vlan+ -j ACCEPT
iptables -A FORWARD -i vlan+ -o eth1 -j ACCEPT
Note : “vlan+” signifie n’importe quelle interface dont le nom commence par “vlan”.
Approche b)
On bloque les flux entre deux VLAN, et on autorise le reste :
iptables -P FORWARD ACCEPT
iptables -A FORWARD -i vlan+ -o vlan+ -j DROP
) ne puisse pas aller/utiliser sur les ressources (PC, Appareil IP comme cam de surveillances etc…), qui sont sur le vlan2 (anciennement Vlan4).