Chyba DMZ?

[trzcionek]

To mój pierwszy post witam serdecznie wszystkich.
Opiszę sytuację która mnie dręczy.
Mam sieć 192.168.0.0/22 brama 192.168.1.20 oraz mam urządzenie 192.168.1.99 do którego mogę się łączyć na portach 4000 i 5000 z Internetu. Dysponuje routerm J2320 i switchami EX2200.
Jak najlepiej i najprościej uniemożliwić dostęp omawianemu urządzeniu do pozostałych hostów w sieci (poza bramą)? Ogólnie w zakresie tej sieci chciałbym utworzyć podsieć 192.168.3.192/26 dla wszystkiego co powinno być odseparowane od reszty. Na razie wszystko jest w jednym VLAN'ie. Co proponujecie?

[House]

Cześć.
Nie za bardzo rozumiem o co chodzi. Jedna maszyna ma być do niej dostęp z całego świata, a do reszty nie? Jeśli tak to tą maszynę możesz odseparować lub na firewall-u napisać filtr który będzie zezwalał na ruch na tych dwóch portach, a resztę będzie wycinał.
Pozdrawiam.

[trzcionek]

Tak na firewallu przekierowanie ruchu na omawianego hosta i wycięcie całej reszty, ale
rozważam tutaj scenariusz, że ktoś z wykorzystaniem otwartych portów przejmuje kontrolę nad hostem. Jeśli już ktoś uzysk nieautoryzowany dostęp do hosta to nie da rady zrobić nic w LAN'ie.

[quattro]

To może private vlans?
http://www.juniper.net/techpubs/en_US/j ... eries.html