[UPDATE]Debian GW VLANokkal

"de, ez a switch amit említett, nem tud ilyet ahogy nézem"
Konkrétan milyen dolgot kerestél amit nem tud, és szükséges lenne? Mert van "Configuration > 802.1Q VLAN fejezet. (Illetve ha más elv szerint szeretné rendezni, akkor a "Configuration > Asymmetric VLAN" is ide tartozhat.). DGS-1216T/1224T/1224TP/1248T Manual Web Smart Switch Version 3.20.

"vlanon nem is tudsz dhcpzni"
Mármint azt állítod, hogy a Debianon nem futtatható több (logikai) interfészen figyelő DHCP szerver? Vagy hogy a 802.1Q tagelt ethernet frame-ben nem megy át a DHCP kommunikáció? Alá tudnád ezt támasztani? Vagy arra gondoltál, hogy ha a DHCP szerver nem a Debianon, hanem a 100-as VLAN-ban lévő egyik szerveren futna? Akkor ugye a Debianon DHCP relayt állítasz be, és már kész is. Szóval nem értem, mire utaltál.

"ha a gyerkőcök átírják az ip-t, simán garázdálkodhatnak"
Két, egymástól L2-ben elszeparált hálózat között L3 gateway nélkül - azaz csak a DGS-1224T-n keresztül - miként lesz lehetséges az L3 kommunikáció, ha az L3 címet megváltoztatod? Tudnál erre példát adni? A szóban forgó DGS-1224T L2 switch, így a Debian feladata a két hálózat közötti routing és szűrés.

Ahogy 1soproni leírta, a jelenlegi topológia szerint a Debianon tűzfalszabályokkal lehet megfogni a forgalmat. Ezt a kérdező is jól sejtette.

Teljesen jól gondolod, hogy alapesetben az ugyanabban a VLAN-ban lévő eszközök közötti kommunikációhoz (itt most L2-ről beszélünk) nincs szükség gatewayre és routingra, az azonos VLAN-ba tartozó eszközök látják egymást. L3-ban azonos VLAN-ban lévő gépek esetén is szükséges (lehet) a gateway, ha a két host külön IP subnetben van.

"Tehát ahhoz hogy egymást se lássák, a korlátozásokat a switchen kellene ACl-el beállítani."
Így van (nem feltétlen ACL, de a rendes switchekben van ilyen jellegű funkció). Cisco switchekben ez protected port néven fut.

Viszont az eredeti kérdező nem ezt szeretné ("Tehát 10-20, 20-30, 10-30 vlan ne tudja egymást elérni"), hanem csak a különböző VLAN-ok közötti forgalmat szeretné korlátozni, amit célszerűen a gatewayen tűzfal segítségével tehet meg. Tehát a te felvetésed önmagában igaz, de nem vonatkozik az eredeti kérdésre.

szábszkrájb :) a végeredményhez vezető infókat publikálhatnád majd ^^
--
>'The time has come,' the Walrus said<

"ami alapján meglehet tanulni a tűzfalazást"
Az első lépés legyen az, hogy össze tudd szedni, milyen forgalomtípusok fordulnak illetve fordulhatnak elő a hálózatodban. Ez igényli a telepített rendszerek által generált forgalmak ismeretét. Ezután meghatározod, hogy ezek közül melyek a szabályozandók, tehát milyen forgalmat akarsz engedélyezni illetve tiltani, milyen módon és milyen okból. Ennek megfelelően fel tudod írni a szabályokat a logikai sorrend betartása mellett. Végül ezeket a szabályokat a megfelelő eszköznek (Linux rendszerek alatt ez elsősorban az iptables) megfelelő formába öntöd.

És most a konkrét kérdéseidre:

0.) Ahogy 1soproni is javasolta, alapesetben mindent tiltunk, valamint stateful tűzfalat próbálunk írni, és az egyszerűség kedvéért ezt most egyben kezeljük:

  iptables -P FORWARD DROP

  iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

1.) "A különböző vlanok között ne tudjanak kommunikálni, kivéve a 100-assal (Tehát 10-20, 20-30, 10-30 vlan ne tudja egymást elérni, megelőzve ezzel a Call of Duty lan partykat :) )"

  iptables -A FORWARD -i eth0.10 -o eth0.100 -s 192.168.10.0/24 -d 192.168.100.0/24 -j ACCEPT

  iptables -A FORWARD -i eth0.20 -o eth0.100 -s 192.168.20.0/24 -d 192.168.100.0/24 -j ACCEPT

  iptables -A FORWARD -i eth0.30 -o eth0.100 -s 192.168.30.0/24 -d 192.168.100.0/24 -j ACCEPT

(Ezt a jelenlegi információk szerint meg lehetne oldani egyetlen sorral is, de így szebb, tisztább.)

2.) "Az internetet a diákok ne tudják elérni (ip alapon) csak transzparens vagy normál proxyval kivédve ezzel annak kikerülését. (Squid már működik)"
A default policy DROP, így ha explicite nem engeded ki, akkor nem fog kijutni.

3.) "NAT (Túlterheléses)"

  iptables -t nat -A POSTROUTING -o eth1 -s 192.168.100.0/24 -j MASQUERADE

4.) "A szerverek normálisan tudjanak kommunikálni a külvilággal."

  iptables -A FORWARD -i eth0.100 -o eth1 -s 192.168.100.0/24 -j ACCEPT

A natolást a 3.) pontban elintéztük.

5.) "Az internet felől ne lehessen elérni a belső hálót"
Lásd a 2. ponthoz írt megjegyzést.

Ne csak bemásold, hanem értsd is meg. Ebben segítség a man iptables, illetve a netfilter honlapján található leírások, beleértve a HOWTO, FAQ és Tutorial részeket is. A fenti sorok csak a vázát adják a tűzfaladnak, fontos hogy az igényeknek megfelelően bővítsd. Amiért nem lehet teljes a fenti szabályrendszer az az, hogy a VLAN ID-kon kívül nem ismerjük az IP subneteket, a szerverek által nyújtott szolgáltatásokat stb.