Как разрешить машине выходить только в локальную сеть, но не интернет?

Настроить firewall

правилами файервола, запретить все адреса, кроме локальной подсети

Запрети на роутере выход в интернет с этого IP (или MAC).

Не определяй на исх. машине default gateway

Указать несуществующий шлюз интернета

Плохой вариант, т.к. в локальной сети могут быть несколько подсетей.

iptables -I FORWARD 1 -s <lan ip> -o <wan interface> -j DROP

Как оно в зональном fw у openwrt делается не подскажу.

Тогда вон правильно выше говорят - не указывать default gateway

Про файрвол сказали уже?

А что помешает его указать на той машине руками?

Скажу как в одном ооочень крупном здешнем провайдере делали - не прописывали DNS :-) Не я делал, и не я там работал, мне просто довелось прикоснуться к некоторым их сервакам.

https://openwrt.org/docs/guide-user/firewall/fw3_configurations/fw3_config_ex...

ну вот по аналогии сделай, только вместо dest_ip у тебя будет src_ip и указывать специфику типа порта и протокола не нужно

столько звезд и такой вопросище…..

Как разрешить машине выходить только в локальную сеть, но не интернет?

и в конце то концов надо писать:

Как ЗАПРЕТИТЬ машине выходить в интернет? Русский не родной?

+100500 Фаервол, и чтоб прав не было админских, а то все можно посмотреть у соседа и прописать ручками изменив и gateway и dns

• Не указывать адрес шлюза

• Запретить менять настройк и сети

• Залить эпоксидкой USB, чтобы не воткнули внешний модем или сетевую карту

• Кабель локальной сети вставить и залить эпоксидкой, чтобы не могли воткнуть в другой роутер

• Сказать машине «я запрещаю тебе! ты! не! пройдёшь!»

• посадить рядом человека, который следил бы за пользователем, чтобы тот не придумал чего.

Это даст гарантию примено 50%

Забыли добавить тренера по боксу, а то за такое просто бьют. Вы такой вариант не рассматриваете?

iptables -I FORWARD -i $LAN_IFACE -s $IP -j DROP

где $LAN_IFACE - локальный интерфейс на роутере, $IP - IP-адрес машины, для которой нужно запретить выход в Интернет.

Естественно, предполагается, что смена IP-адреса машины пользователем невозможна.

Нужно, впрочем, понимать, что данный запрет пользователь может обойти - например, настроив прокси на одной из других машин локальной сети, доступ которой в Интернет разрешен.

Или просто использовав мобильный интернет с телефона.

Злой ты админ. :) Первое что пришло на ум - правило deny в forward. Ну, или запретить путь к default route. ps: у этого ip закончилось пыво?

iptables -I FORWARD -i $LAN_IFACE -s $IP -j DROP

где $LAN_IFACE - локальный интерфейс на роутере, $IP - IP-адрес машины, для которой нужно запретить выход в Интернет.

Естественно, предполагается, что смена IP-адреса машины пользователем невозможна.

Мало того. Он может другую сетевуху воткнуть, или mac поменять.

Нужно, впрочем, понимать, что данный запрет пользователь может обойти - например, настроив прокси на одной из других машин локальной сети, доступ которой в Интернет разрешен.

Нафига тогда админ.

Или просто использовав мобильный интернет с телефона.

Тогда вступают в ход административные меры.

Мало того. Он может другую сетевуху воткнуть, или mac поменять.

Если на свитче есть привязка порта к MAC-адресу, то подобные действия не помогут.

Тогда вступают в ход административные меры.

Ну да, собственно говоря, именно об этом речь и идет - чисто техническими методами задача не решается.

думаю, будет интересен взгляд с другой стороны

невидимая передача корпоративной сети

Ну если сеть не большая можно раздать статику и разрешить только им.