阻止网络设备与 LAN 上的其他设备通信

Question

我一直在使用防火墙/路由器分发 Pfsense 一段时间，我一直在尝试弄清楚如何使用拒绝/拒绝 LAN 规则将 LAN 上的服务器与 LAN 上的其他计算机“隔离”。我尝试在防火墙-> 规则-> LAN 下添加一条规则，该规则拒绝设备（例如我的手机 192.168.1.102）向位于 192.168.1.105 的 Web 服务器发送任何 TCP 数据包。出于某种原因，数据包设法得到了。奇怪的是，如果我将路由器本身指定为目的地，并阻止电话/计算机与其通话，它就可以工作。我已经用无线笔记本电脑和无线电话测试了这个，它们都在同一个子网上。

我的拓扑如下：

(internet)->(modem)->(pfsense)->(wireless router /w switch)->(wired devices)
                                            |
                                        (Wireless laptop/phone)
| == wifi
-> == wire

无线路由器/交换机是否可能只是将数据包从我的手机中继到服务器并完全绕过防火墙（解释为什么我的规则不起作用）？如果是这样，我如何设置它以便所有 LAN 流量都必须通过我的防火墙才能与网络上的任何其他计算机通信？

此处提供的 Web 界面图片作为 3 代表不会让我发布图片:(图片

Answer 1

如果两台主机在同一个子网上，流量就没有理由通过路由器。你的规则永远不会被应用。这两个设备连接到一个交换机（或其他一些第 2 层网络硬件）。主机 A 说“我希望此流量转到主机 B 的 IP”，而您的交换机说“好的，完成了”。

更新：如果 VLAN 是一个选项，请将每个主机放在一个单独的 VLAN 中。这样，您可以在它们之间强制执行路由规则并实现您想要的逻辑分离。