Iptables: запрет клиентов в локальной сети видеть друг друга

Подскажите, где у меня ошибка и что я делаю не так? Заранее благодарю.

Роутер никак не участвует в передаче пакетов от одного клиента к другому, т.к. фактически они соединены через тупой свич.

Предыдуший комментатор прав, поэтому никак и, кстати, незачем.

поэтому никак

А кстати может быть и как. Если провода от каждого клиента воткнуты в этот роутер, и на роутере LAN-порты видятся как отдельные eth-интерфейсы, объединённые в мост, а не как один интерфейс на свич, то можно попробовать фильтровать пакеты через ebtables. Но я сомневаюсь, что в dd-wrt так можно из коробки.

Если оградить клиентов друг от друга очень сильно хочется, то можно также попробовать заменить все свичи на управляемые.

я сомневаюсь, что в dd-wrt так можно из коробки.

Я тоже, потому и сказал, что «никак». Было бы интересно ошибиться.

Вообще, можно, наверное, каждого клиента запихнуть в отдельную подсеть, если их не очень много, а на роутер навешать alias'ов. Это тупая ручная работа с раздачей адресов и прописыванием шлюзов на каждом клиенте.

Но я все равно не вижу в этом смысла.

попробую идею с разными eth интерфейсами и отпишусь.

Определи vlan'ы и каждого клиента в свой vlan

спасибо за идею с vlan`ами. по здравому суждению других вариантов не вижу.

спасибо, что разъяснили мне про свитч лан портов. тему можно считать закрытой. буду делать через вланы.

А PPPoE не подойдет?

а расскажите, как настроить его для лана? или ссылку бросьте на какой-нибудь пример. буду благодарен.

А что там особенного? Поднимаешь, как обычно, pppoe-сервер, на каждом компе в локалке настраиваешь клиента, и после этого они будут общаться только через сервак, где ты благополучно сможешь забанить это дело на фаерволе.

По сути, те же вланы, но немного на другом уровне.

вот с том то и суть, чтобы поднять pppoe сервер на dd-wrt: в репозитории к установщику ipkg-opt я вариантов не нашел. попробую собрать rp-pppoe на dd-wrt - главное си компилер найти и поставить))

man кросскомпиляция.

вы мне лучше пакет посоветуйте для dd-wrt. только gcc не в счет - он идет только в составе пакета crosstool-native размером в 100 мбайт

ip-sentinel поможет решить эту проблему

Роутер не будет учавствовать при передаче данных внутри подсети (как уже выше написали). Есть вариант поставить управляемый свич, и на нем уже настроить port-isolation. Тогда все клиенты пойдут через сервер (т.е. то, что вам надо - не видеть друг друга)