изоляция подсетей и маршрутизация избранных хостов

Раздел для тех, кто начинает знакомиться с MikroTik
Правила форума
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.

1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку "Действия до настройки роутера".
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.
Ответить
gmx
Модератор
Сообщения: 3290
Зарегистрирован: 01 окт 2012, 14:48

Ну так вед переделайте ограничение так, как описывается в данной теме. И все проблемы. Вам будут доступны адрес листы и многие другие возможности фаерволла.


gmx
Модератор
Сообщения: 3290
Зарегистрирован: 01 окт 2012, 14:48

Думаю, тоже можно, например, разделив одну подсеть на сегменты маской.
Например, указал в IP-routes-rules маску не 24, а 29, вы, пусть не совсем удобно, но сможете либо разрешить, либо запретить доступ, диапазону 192.168.1.1-.6, ну и так далее... Но я бы не назвал это шибко элегантным решением.

Во-первых, часть адресов потеряется из максимального диапазона по понятным причинам, во-вторых, через месяц уже забудется все это, и когда понадобится что-то поменять, придется снова считать маску, диапазоны и так далее.


AIRDAN
Сообщения: 1
Зарегистрирован: 31 июл 2019, 11:58

Добрый день. Подскажите пожалуйста по правилам фаервола.
Железо 750Gr3. Версия 6.45.2.
Или я не до понимаю алгоритма работы или это какой то глюк?

Есть две сети. Сети висят на разных интерфейсах и мостов между ними нет.
Нужно запретить трафик между сетями, кроме определённых хостов.
В принципе делаю всё как в вышеуказанных примерах, но без минимализации.

/ip firewall address-list
add address=10.0.1.1 list=L1
add address=10.0.2.2 list=L2

Вариант 1 - всё отлично работает.
add action=accept chain=forward dst-address-list=L1 src-address-list=L2
add action=accept chain=forward dst-address-list=L2 src-address-list=L1
add action=drop chain=forward dst-address=10.0.1.0/24 src-address=10.0.2.0/24
add action=drop chain=forward dst-address=10.0.2.0/24 src-address=10.0.1.0/24

Вариант 2 - не работает! Почему?
add action=drop chain=forward dst-address=10.0.1.0/24 dst-address-list=!L1 src-address=10.0.2.0/24 src-address-list=!L2
add action=drop chain=forward dst-address=10.0.2.0/24 dst-address-list=!L2 src-address=10.0.1.0/24 src-address-list=!L1

Второй вариант отрабатывает только если адресов источника и получателя нет в списках.
Если адрес источника есть в списке, то он может общаться с любым хостом в сети получателя.
Если адреса источника нет в списке, то он может общаться с хостами, указанными в списке получателей.
Получается, что совместное использование src-address-list=! и dst-address-list=! обрабатывается не как И, а как ИЛИ.
Это нормально или это глюк?
Спасибо.


gmx
Модератор
Сообщения: 3290
Зарегистрирован: 01 окт 2012, 14:48

Да, сталкивался с этим как-то давно!

Если заполнено scr-address, то scr-address-list не обрабатывается, как ожидается.
Я просто забил и использую всегда что-то одно. Чаще листы...


Aleksander
Сообщения: 6
Зарегистрирован: 03 сен 2019, 12:48

Приветствую. Подскажите плиз. Не могу сам осилить.
RB2011UiAS-2HnD
Входящий АйПи - 192.168.0.39
ВайФай сеть - 172.16.9.0
Ноутбук подключен по ВайФай может зайти в расшаренную папку в локальной сети 192.168.0.0/24 по АйПи.
Сервер 1С пингуется по АйПи. По имени нет и соответственно в 1С с ноутбука нет доступа.
Подскажите плиз как настроить.


KaNelam
Сообщения: 620
Зарегистрирован: 11 июл 2017, 13:03

Aleksander писал(а): 17 июн 2021, 12:33 Входящий АйПи - 192.168.0.39

Входящий куда? Входящий откуда? НАТ одной сети в другую?


Aleksander
Сообщения: 6
Зарегистрирован: 03 сен 2019, 12:48

KaNelam писал(а): 17 июн 2021, 13:17
Aleksander писал(а): 17 июн 2021, 12:33 Входящий АйПи - 192.168.0.39

Входящий куда? Входящий откуда? НАТ одной сети в другую?
Входящий - из локальной сети 192.168.0.0/24 в 1 порт маршрутизатора. (ether1)
Изображение


KaNelam
Сообщения: 620
Зарегистрирован: 11 июл 2017, 13:03

Aleksander писал(а): 17 июн 2021, 14:13
KaNelam писал(а): 17 июн 2021, 13:17
Aleksander писал(а): 17 июн 2021, 12:33 Входящий АйПи - 192.168.0.39

Входящий куда? Входящий откуда? НАТ одной сети в другую?
Входящий - из локальной сети 192.168.0.0/24 в 1 порт маршрутизатора. (ether1)
Изображение
Нетбиос работает в пределах одного широковещательного домена, в вашем случае в сети 192.168.0.0/24. Вариант получать адреса из той сети, вифи и приходящий эзернет в бридж.


Aleksander
Сообщения: 6
Зарегистрирован: 03 сен 2019, 12:48

KaNelam писал(а): 17 июн 2021, 15:59 Нетбиос работает в пределах одного широковещательного домена, в вашем случае в сети 192.168.0.0/24. Вариант получать адреса из той сети, вифи и приходящий эзернет в бридж.
Так можно как-то сделать?


KaNelam
Сообщения: 620
Зарегистрирован: 11 июл 2017, 13:03

Aleksander писал(а): 17 июн 2021, 16:19
KaNelam писал(а): 17 июн 2021, 15:59 Нетбиос работает в пределах одного широковещательного домена, в вашем случае в сети 192.168.0.0/24. Вариант получать адреса из той сети, вифи и приходящий эзернет в бридж.
Так можно как-то сделать?
Описал выше, на 2011 создаете бридж, в него включаете ether1 и wifi.


Ответить