En este artículo se explicará cómo bloquear el enrutamiento de LAN a VLAN2, así como algunas otras técnicas para ajustar la comunicación entre interVLAN (entre VLANs).

NOTA: Se recomienda el USG con firmware 4.3.41 o superior para este artículo.

Introducción

El enrutamiento entre VLANs está habilitado de forma predeterminada entre todas las redes LAN corporativas. En este artículo, se demostrará el bloqueo de LAN a VLAN2, así como algunas otras técnicas para ajustar la comunicación entre VLANs en redes corporativas.

Opción 1: Deshabilitar el enrutamiento interVLAN entre LAN y VLAN2

Para deshabilitar el enrutamiento interVLAN entre LAN y VLAN2, vaya al UniFi Controller > Settings > Routing and Firewall > Firewall > Rules > > LAN_IN1
Cree una nueva regla con la configuración que se muestra a continuación y en la opción Action seleccione Drop o Reject2.

Notas:

LAN_IN es donde desea filtrar todo su tráfico de LAN/VLAN, ya que IN es el primer punto de entrada al Firewall, sin importar la interfaz. El conjunto de reglas OUT solo se usará en casos especiales.
Drop rechazará por completo el tráfico resultando en un mensaje en el cliente “Request time out” (Tiempo de espera agotado); Reject devolverá un paquete de conexión rechazado al cliente.
NETv4 incluye toda la red, ADDRv4 solo incluye la dirección de la interfaz del USG para esa red (ejemplo: 192.168.1.1 – 192.168.1.254 vs 192.168.1.1)

Opción 2: Bloquear todas las VLANs entre sí

Hay mucha flexibilidad para lograr el bloqueo del enrutamiento interVLAN. Si hay un gran número de VLAN y todas deben estar bloqueadas entre sí, esto se puede lograr con una regla:

El uso de la regla anterior bloqueará toda la comunicación de red privada entre las VLANs; sin embargo, el mismo tráfico de subredes/VLAN se permitirá como se esperaba, ya que nunca se enviará a la puerta de enlace predeterminada (USG). Los datos atravesarán la capa 2 de la red y se transmitirán a través de frames mediante los switches intermedios.

Opción 3: Bloquear LAN a VLAN2, pero permitir VLAN2 a LAN

Si su objetivo es bloquear LAN a VLAN2, pero permitir VLAN2 a LAN, siga primero la Opción 1 y después continúe con la creación de una regla en la parte superior (primera regla) de LAN_IN con:

Agregando esta regla en la parte superior del conjunto de reglas permitirá que todo el tráfico del Firewall establecido y relacionado con el estado pueda pasar, que básicamente es todo el tráfico de “respuesta”.

Notas:

Al agregar nuevas reglas, tenga en cuenta que no tendrán efecto inmediato en las conexiones con estado existentes. Para resolver esto, realice una de las siguientes opciones:

Espere a que los estados se caigan (cierre todas las conexiones y espere el tiempo de espera del estado, que es de aproximadamente 30 segundos)
Entrar mediante SSH al USG y escribir clear connection-tracking. Esto borra toda la tabla de estados del USG
Reinicia el USG