Erstens ebtablesist es ein Link-Layer-Protokoll und als solches kann es unmöglich etwas über ESTABLISHED, RELATEDVerbindungen wissen . Laut Wikipedia ,
Die Verbindungsschicht ist die Gruppe von Methoden und Kommunikationsprotokollen, die nur auf der Verbindung arbeiten, mit der ein Host physisch verbunden ist.
Wie kann es also wissen, dass dieses Paket von einer entfernten URL das nächste Paket in einer Reihe ist, das lokal initiiert wurde?
Was Ihre zweite Lösung angeht, ist mir nicht klar, was Sie erreichen wollen. Im Allgemeinen werden DMZs verwendet, um die Menge an Datenverkehr zu begrenzen, die zwischen ihm und dem Nicht-DMZ-LAN ausgetauscht wird, um Netzwerkerkennungen und / oder -untersuchungen usw. zu verhindern. Sie versuchen stattdessen, die Protokolle und die Kommunikation zwischen den beiden zu erhöhen.
Wenn Sie dies tun möchten, können Sie ein einzelnes LAN, das sowohl DMZ als auch Nicht-DMZ umfasst, erstellen und dann den Datenverkehr durchsehen iptables. Auf diese Weise können Sie den Nicht-IP-Verkehr zwischen den beiden zulassen, können jedoch den IP-Verkehr blockieren, z. B. das Trennen aller ssh / telnet-Verbindungen von einer Zone zur anderen.
Alternativ können Sie eine Art Man in the Middle verwenden, z. B. einen PC mit einer Schnittstelle in der Nicht-DMZ und einer in der DMZ, mit IPv4-Weiterleitung aktiviert, jedoch durch gesteuert iptables, und dhcp-relayum die Weitergabe von DHCP-Anforderungen (die Version) zu ermöglichen bereitgestellt von dnsmaqist besonders einfach einzurichten). Sie können auch Proxy-ARP auf diesem MIM-PC aktivieren, sodass er auf ARP-Abfragen im Namen der unter Quarantäne gestellten Computer antwortet.