[straiker11]

ДОброго времени суток. Подскажите новичку по следующей ситуации - есть mikrotik rb2011 который смотрит в сторону сети сторонней организации. Необходимо отсечь доступ к локалке на этом порту всем кроме трех устройств. В голову приходит только блокировка по МАС ибо ip меняется. Как это реализовать???

[Mindaugas]

?

 

ip firewall filter add chain=input src-mac-address=00:0C:29:32:E6:92 action=accept (Allow User )

ip firewall filter add chain=input src-mac-address=00:0C:29:32:E6:93 action=accept (Allow User )

ip firewall filter add chain=input src-mac-address=00:0C:29:32:E6:94 action=accept (Allow User )

ip firewall filter add chain=input src-address=192.168.139.0/24 action=drop (all users deny)

Edited October 14, 2015 by Mindaugas

[verhoum]

pppoe клиент на устройствах есть?

[straiker11]

?

 

ip firewall filter add chain=input src-mac-address=00:0C:29:32:E6:92 action=accept (Allow User )

ip firewall filter add chain=input src-mac-address=00:0C:29:32:E6:93 action=accept (Allow User )

ip firewall filter add chain=input src-mac-address=00:0C:29:32:E6:94 action=accept (Allow User )

ip firewall filter add chain=input src-address=192.168.139.0/24 action=drop (all users deny)

 

Это понятно. Я наверно не корректно рассказал о проблеме - дропанье всех кроме трех маков должно происходить только на одном физическом порту. На всех остальных портах без ограничений

 

pppoe клиент на устройствах есть?

 

нет нету

[kaist]

Ну так укажите ещё и интерфейс в правилах фаера.

[straiker11]

Ну так укажите ещё и интерфейс в правилах фаера.

 

in bridge port или out?

 

ругается in bridge port matcher not possible when bridge use ip firewall is disabled. Де это включается??

Edited October 14, 2015 by straiker11

[Mindaugas]

straiker11

 

Vlan - укажите там порт, потом дроп на порту....или тоже самое с bridge

[kaist]

Ну так укажите ещё и интерфейс в правилах фаера.

 

in bridge port или out?

 

ругается in bridge port matcher not possible when bridge use ip firewall is disabled. Де это включается??

interface bridge settings set use-ip-firewall=yes

 

НО... Вам нужно на бридже или на физическом интерфейсе запретить маки? если на интерфейсе, то в правиле фаервола и указываете его в качестве in interface

[Saab95]

Вообще у микротика есть на бридже фильтры, в том числе и по маку. Так же там есть маркировка пакетов. Если работает роутинг, можно на бридже пометить пакеты, а потом задропать их в файрволе.