質問: 下図のような構成になっている場合、ルータ側でこのようなことは制御を行うことは可能でしょうか? (図示のとおり、各セグメントのデフォルトゲートウェイは末尾254です。) ![画像の説明をここに入力](https://i.stack.imgur.com/wk4eo.png) ■やりたい事 source: 172.16.1.100のクライアントから dst: 192.168.1.20へのアクセスだけを許したい (同セグメントに存在している192.168.1.200へのアクセスは禁止) ルータになりうるのはCisco機器 or VyOSなので アクセスリストかiptablesどちらかでの対応となります。 (Cisco機器ではできました) 調べたところソース元IPで制限をかける場合はPBR(ポリシーベースルーティング)?を利用しないとできなさそうなのですが、iptablesでそれを行うことは可能でしょうか? お詳しい方いらっしゃいましたら経路の制御を行う書き方 (iptablesでの制御 or VyOSでの書き方)を教えて頂けませんでしょうか?
回答: ネットマスクの記載がありませんが、/24 と想定しています。 ルーティングは設定済みで、192.168.3.0/24 <--> 192.168.1.0/24, 192.168.2.0/24 間はルータを経由して通信できるものとします。 iptables の FORWARD チェインで接続元IPアドレス、接続先IPアドレスのペアで許可/拒否すればいいと思います。 ``` iptables -A FORWARD -s 192.168.3.200 -d 192.168.1.10 -j ACCEPT iptables -A FORWARD -s 192.168.3.200 -d 192.168.2.10 -j DROP ``` こういう単純なことではなく、もっと複雑なことをやろうとしているのでしょうか? 図では 192.168.1.10 と 192.168.2.10 が同じネットワークセグメントのように見えますし。