所以我有一台有 4 个接口的 Linux 机器：
- enp1s0
- enp2s0
- enp3s0
- enp4s0
我要做的是让 enp1s0 作为 WAN 接口并通过 DHCP 获取其 ip 地址、dns 和网关。
对于其他三个接口，我希望它们具有：
- 同一子网中的 IP 地址
- 让一个 LAN 接口上的所有主机能够看到另一个 LAN 接口上的所有其他主机
- 运行 shorewall 作为防火墙
- 使用 DNS Masq
以下是我目前得到的信息：
猫/等/网络/接口
# 此文件描述了系统上可用的网络接口
# 以及如何激活它们。有关更多信息，请参阅interfaces(5)。
源 /etc/network/interfaces.d/*
# 环回网络接口
自动档
iface lo inet 环回
# 主网络接口
# 列为 #1
# 这是 wan 接口
自动 enp1s0
iface enp1s0 inet dhcp
# 列为 #2
# 这条路线通往楼上
自动 enp3s0
iface enp3s0 inet 静态
地址 192.168.47.254
网络掩码 255.255.255.0
网络 192.168.47.0
广播 192.168.47.255
# 列为 #4
自动 enp2s0
iface enp2s0 inet 静态
地址 192.168.47.253
网络掩码 255.255.255.0
网络 192.168.47.0
广播 192.168.47.255
# 列为 #3
自动 enp4s0
iface enp4s0 inet 静态
地址 192.168.47.252
网络掩码 255.255.255.0
网络 192.168.47.0
广播 192.168.47.255
猫/etc/dnsmasq.conf 接口=enp2s0 接口=enp3s0 接口=enp4s0 listen-address=192.168.47.254 # 明确指定要监听的地址 bind-interfaces # 绑定到接口以确保我们不会将东西发送到其他地方 server=8.8.8.8 # 将 DNS 请求转发到 Google DNS domain-needed # 不要转发短名称 bogus-priv # 永远不要转发非路由地址空间中的地址。 dhcp-range=192.168.47.100,192.168.47.250,12h # 分配 192.168.46.100-250 之间的 IP 地址，租用时间为 12 小时 DHCP日志 日志查询
interface=enp2s0 # 使用接口 wlan0 interface=enp3s0 # 使用接口 wlan0 interface=enp4s0 # 使用接口 wlan0 listen-address=192.168.47.254 # 明确指定要监听的地址 bind-interfaces # 绑定到接口以确保我们不会将东西发送到其他地方 server=8.8.8.8 # 将 DNS 请求转发到 Google DNS domain-needed # 不要转发短名称 bogus-priv # 永远不要转发非路由地址空间中的地址。 dhcp-range=192.168.47.100,192.168.47.250,12h # 分配 192.168.46.100-250 之间的 IP 地址，租用时间为 12 小时 DHCP日志 日志查询
下面是来自其中一台客户端机器的示例 IP 路由表：
ip -一个地址 1：lo inet 127.0.0.1/8 范围主机 lo\ valid_lft 永远 preferred_lft 永远 1：lo inet6 ::1/128 范围主机 \ valid_lft 永远 preferred_lft 永远 2：eth0 inet 192.168.46.5/24 brd 192.168.46.255 范围全局 eth0\ valid_lft 永远 preferred_lft 永远 2：eth0 inet6 fe80::82ee:73ff:fe5d:89d1/64 范围链接 \ valid_lft 永久 preferred_lft 永久 3：eth1 inet 192.168.47.244/24 brd 192.168.47.255 范围全局 eth1\ valid_lft 永久 preferred_lft 永久 3：eth1 inet6 fe80::82ee:73ff:fe5d:89d0/64 范围链接 \ valid_lft 永久 preferred_lft 永久
路线-n 内核 IP 路由表 目标网关 Genmask 标志 指标参考使用 Iface 0.0.0.0 192.168.46.1 0.0.0.0 UG 0 0 0 eth0 192.168.46.0 0.0.0.0 255.255.255.0 U 1 0 0 eth0 192.168.47.0 0.0.0.0 255.255.255.0 U 1 0 0 eth1
目前有效的方法：
- 不同接口上的机器获得正确的 IP 地址
- 机器要么可以 ping 通路由器上的所有接口，要么不能。我认为这可能取决于最近通过 DHCP 连接的机器
- 如果我可以从客户端机器 ping 一下，其他东西也能正常工作，例如 ssh
- 我从来没有让两台客户端机器互相 ping 过
经过大量阅读后，我确定我需要静态路由、每个 LAN 接口的不同子网或桥接。
理想情况下，我希望根据接口在 Shorewall 中设置权限，并且仍然对所有 LAN 接口使用一个子网。
答案1
你完全走错了路，它与 Shorewall（或任何其他防火墙包）无关，而是与一般的 IP 网络有关。
如果你想象一个给定的 IP 主机在同一个子网中有三个接口，并且一个数据包从第四个接口到达该子网，那么该主机如何知道哪个三个接口中的哪一个应该接收数据包？它会在所有三个接口上执行 ARP 吗？它是否只是将所有流量发送到第一个出现的接口，从而阻止发往其他两个接口的流量？这就是为什么如果您尝试从 shell 进行配置，您会收到有关子网重叠的错误消息。
因此 - 您有三个合理的选择，外加几个子选项。
丢弃其他两个接口，只需将一个端口连接到交换机，然后将主机（以及可能位于同一子网中的 wifi）挂在该交换机上。可能的将所有三个内部接口合并为一个绑定或团队，但这基本上需要所有三个身体的接口并将它们变成单一逻辑界面。
创建 Linux 桥接接口。将 IP、DHCP 和其他配置元素提供给桥接器，然后将三个物理接口绑定为桥接器的成员。您的防火墙将单个桥接接口视为内部（...即使它绑定到三个段）。再次 - 从 IP 角度来看，您有一内部子网中的接口，而不是三个。
将三个接口放在三个不重叠的 IP 子网中并进行相应配置。