Всем привет1 Нужна помощь - есть роутер микротик 951 и RouterOS v6.39.3.
На роутере стоит 3g usb модем (интерфейс ppp-out1). К роутеру ещё подключены 3 ip камеры видеонаблюдения. К роутеру подключаются по wi-fi несколько ноутбуков. Айпишники динамические.
Теперь встала задача - как сделать так, чтобы при подключении к роутеру любого устройства - mac адрес которого не входит в список разрешенных, данное устройство не имело доступа к интернету (интерфейсу ppp-out1)? Т.е. чтобы к камерам доступ был, а к интернету не был.
Как настроить блокировку доступа в интернет по MAC-адресу?
Правила форума
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.
1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку "Действия до настройки роутера".
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.
1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку "Действия до настройки роутера".
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.
-
xvo
- Сообщения: 4204
- Зарегистрирован: 25 фев 2018, 22:41
- Откуда: Москва
Bridge -> Filters
В ip firewall'е тоже есть matcher src-mac-address.
В ip firewall'е тоже есть matcher src-mac-address.
Telegram: @thexvo
-
Erik_U
- Сообщения: 1768
- Зарегистрирован: 09 июл 2014, 12:33
в DHCP для разрешенных сделать статические записи.
Диапазон адресов этих статических записей внести в адрес лист.
В IP-Firewall сделать правило на дроп форварда в out интерфейс (ваш PPP) для всех, кроме этого адрес листа.
И правило поднять повыше.
Диапазон адресов этих статических записей внести в адрес лист.
В IP-Firewall сделать правило на дроп форварда в out интерфейс (ваш PPP) для всех, кроме этого адрес листа.
И правило поднять повыше.
-
Vlad-2
- Модератор
- Сообщения: 2531
- Зарегистрирован: 08 апр 2016, 19:19
- Откуда: Петропавловск-Камчатский (п-ов Камчатка)
- Контактная информация:
Я зацеплюсь за слова ТС выше, надо лимитировать доступ в Интернет, так и лимитируйте,systemdynamic писал(а): ↑16 июн 2020, 16:11 Теперь встала задача - как сделать так, чтобы при подключении к роутеру любого устройства - mac адрес которого не входит в список разрешенных, данное устройство не имело доступа к интернету (интерфейсу ppp-out1)? Т.е. чтобы к камерам доступ был, а к интернету не был.
есть куча вариантов, от создания списка блокировки на доступ в Интернет (через файрвол, закладка NAT),
до блокировки промежуточного (форвард) трафика также по спискам/направлениям.
Зачем лезть в МАК адресацию и прочее?
Лезть в МАК-адресацию, всё равно что не покупать продукты и голодать, а я предлагаю создавать
списки IP и управлять гибко (иметь продукты в холодильнике, но кушать что надо и когда надо).
И как пример: есть у меня принтера сетевые которые стоят для боссов, по вифи подключённые,
я спокойно их адресам закрыл доступ в Интернет, мне не жалко, просто я так захотел,
есть компьютер(ы) охраны, пусть смотрять свои камеры и даже не думают открывать браузер,
там всё закрыто. И мне не важен МАК, есть адресация (IP) и есть списки.
P.S.
Не надо из пушки по воробьям.