dIMbI4 Posted July 15, 2009 · Report post имеется 433ан мтик. - вынос в поселок. в него воткнуты 2 радиокарты. на одну приходит канал от общей сети, к эзернетам подключены пара компов, на втором wlan-е висят пара десятков клиентов через WDS-static (наносы). все 5 интерфейсов - в bridge1, wds default bridge - тоже bridge1. задача - запретить безпроводным клиентам трефик между друг другом и разрешить доступ только у паре серверов из общей сети. компам с эзернетов нужно видеть все. мне предложили решение писать бридж фильтерс допустим для 5 клиентов так - wds1-wds2 1-3 1-4 1-5 2-3 2-4 2-5 3-4 3-5 4-5 action drop/ выглядит криврвато да и для 20-30 клиентов борсч. так-же непонял как запретить трафик и разрешить только к нескольким ипам. кого не затруднит - постучите в асю 498-два-20-269 или тут. в голову лезет решение вытащить виланами через эзернет два бриджа - приходящий и доступ и разрулить на свиче с помощью ACL Share this post Link to post Share on other sites
L-ZiX Posted July 15, 2009 · Report post и это будет само правильно - всех в вланы Share this post Link to post Share on other sites
yrida Posted July 15, 2009 · Report post Так уберите дефаулт форвард на влане и безпроводние клиенти траф между собой прекратят. Share this post Link to post Share on other sites
Dimich99 Posted July 15, 2009 · Report post сделайте правило Bridge Filter Rule : Action: drop Vlan'ов не надо. Share this post Link to post Share on other sites
SoUgly Posted July 16, 2009 · Report post 2Dimich99: И у тебя это работает? Или пост от балды? Share this post Link to post Share on other sites
Dimich99 Posted July 16, 2009 · Report post 2Dimich99: И у тебя это работает? Или пост от балды?да именно так и работает. Share this post Link to post Share on other sites
SoUgly Posted July 16, 2009 · Report post Что-то в этой записи криво. Получается, что траф через бридж запрещается. Соответственно ели в этом бридже живет wlan и eth всё разом накрывается медным тазом. Может ты используешь для них отдельный бридж? Share this post Link to post Share on other sites
Dimich99 Posted July 16, 2009 (edited) · Report post Что-то в этой записи криво. Получается, что траф через бридж запрещается. Соответственно ели в этом бридже живет wlan и eth всё разом накрывается медным тазом. Может ты используешь для них отдельный бридж?бридж один.Согласен выглядит оно не совсем понятно :) но работает только так. В бридже wlan и ether wlan состоит с wds1,2,3,4 а правило надо понимать как : все что пришло на интерфейс бриджа (на тот же wlan ) и возвращается назад с интерфеса (с wlana допустим)- кидать в drop!тоесть все пакеты которые адресуются не wifi роутеру обрабатывает forward, и если пакет приходит с интерфейса wlan и его надо отправить назад в этот же интерфейс для доставки реальному получателю -в дроп! Edited July 16, 2009 by Dimich99 Share this post Link to post Share on other sites
wireless_man Posted July 16, 2009 · Report post Что-то в этой записи криво. Получается, что траф через бридж запрещается. Соответственно ели в этом бридже живет wlan и eth всё разом накрывается медным тазом. Может ты используешь для них отдельный бридж?бридж один.Согласен выглядит оно не совсем понятно :) но работает только так. В бридже wlan и ether wlan состоит с wds1,2,3,4 а правило надо понимать как : все что пришло на интерфейс бриджа (на тот же wlan ) и возвращается назад с интерфеса (с wlana допустим)- кидать в drop!тоесть все пакеты которые адресуются не wifi роутеру обрабатывает forward, и если пакет приходит с интерфейса wlan и его надо отправить назад в этот же интерфейс для доставки реальному получателю -в дроп! Абсолютно тоже самое получите если сделаете: interface wireless set 0 default-forwarding=no Share this post Link to post Share on other sites
Dimich99 Posted July 16, 2009 · Report post Что-то в этой записи криво. Получается, что траф через бридж запрещается. Соответственно ели в этом бридже живет wlan и eth всё разом накрывается медным тазом. Может ты используешь для них отдельный бридж?бридж один.Согласен выглядит оно не совсем понятно :) но работает только так. В бридже wlan и ether wlan состоит с wds1,2,3,4 а правило надо понимать как : все что пришло на интерфейс бриджа (на тот же wlan ) и возвращается назад с интерфеса (с wlana допустим)- кидать в drop!тоесть все пакеты которые адресуются не wifi роутеру обрабатывает forward, и если пакет приходит с интерфейса wlan и его надо отправить назад в этот же интерфейс для доставки реальному получателю -в дроп! Абсолютно тоже самое получите если сделаете: interface wireless set 0 default-forwarding=no абсолютно не работает. :) пробовал и в настройках wlan интерфейса и в registration table снимать эту галочку - полюбому роутит между wifi юзерами! Share this post Link to post Share on other sites
wireless_man Posted July 16, 2009 (edited) · Report post сорри провтыкал что вдс ... сам wlan с бриджа можно выкинуть он там не нужен .. правило правильное в случае с вдс ... Edited July 16, 2009 by wireless_man Share this post Link to post Share on other sites
Dimich99 Posted July 16, 2009 · Report post 2dIMbI4: Мой вариант у Вас заработал? Share this post Link to post Share on other sites
dIMbI4 Posted July 16, 2009 · Report post пока не появились клиенты .... у всех чтото точки выключены. вечером увидим. но я сомневаюсь в работоспособности вашего варианта.. вечером применю. Share this post Link to post Share on other sites
Dimich99 Posted July 16, 2009 (edited) · Report post сам wlan с бриджа можно выкинуть он там не нужен .. правило правильное в случае с вдс ...малость провтыкалу меня бридж это wds1,2,3,4 и wlan Говорите что wlan можно выкинуть с бриджа? а между ether и беспроводкой идет роутинг а не бриджинг. и мое правило фильтрации работает хорошо.Клиент клиента не видить ни на IP ни на ARP уровне. Edited July 16, 2009 by Dimich99 Share this post Link to post Share on other sites
SoUgly Posted July 16, 2009 · Report post Вот ключевая фраза: "а между ether и беспроводкой идет роутинг а не бриджинг." У меня-то бриджинг. Поэтому приходится дропать траф между вдс-ами. Share this post Link to post Share on other sites
X0t@bych Posted July 16, 2009 · Report post Никаких причин не вижу в этом случае использовать режим WDS, раз все вдс динамически добавляются в один бридж. Переключить всех клиентов в режим station и включить на базе interface wireless set 0 default-forwarding=no. Share this post Link to post Share on other sites
Saab95 Posted November 27, 2009 · Report post А если клиенты в вдс, а отправлять их надо на Ether1 - который тоже в бридж включен как быть? Ether1, Wlan1, Wds1...Wds10 в бридже. Надо запретить траф между клиентами, однако разрешить им доступ на Ether1. Share this post Link to post Share on other sites
fastvd Posted November 28, 2009 · Report post Никаких причин не вижу в этом случае использовать режим WDS, раз все вдс динамически добавляются в один бридж. Переключить всех клиентов в режим station и включить на базе interface wireless set 0 default-forwarding=no. +1, ВДС на клиентах это очень редкий случай, и то в варианте какогото п2п линка, обычного стейшн хватает и самое головное что так правильно) Share this post Link to post Share on other sites
dIMbI4 Posted November 28, 2009 · Report post кстати вопрос то остается открытым =) досихпор не решен. спасаюсь только зарезанием скорости на клиентских наносах до 4х мегабит, радио на 36. пик прокачки вечером 20мегабит 20 клиентов на всенаправленной антенке. Share this post Link to post Share on other sites
fastvd Posted November 28, 2009 · Report post кстати вопрос то остается открытым =) досихпор не решен. спасаюсь только зарезанием скорости на клиентских наносах до 4х мегабит, радио на 36. пик прокачки вечером 20мегабит 20 клиентов на всенаправленной антенке. ниплохо вы розкачали МТ+всенапрямленку!!! Share this post Link to post Share on other sites
Saab95 Posted November 28, 2009 · Report post Если клиенты на PPPoE сидят (что кстати удобно на наносах) без WDS не получиться. Share this post Link to post Share on other sites
fastvd Posted November 28, 2009 · Report post Если клиенты на PPPoE сидят (что кстати удобно на наносах) без WDS не получиться. что-то не то вы говорите. классика: ар бридж на МТ - стейшн на УБНТ - пппое пролетает гуд. вот если ваша ар бридж получате инет от клиента то тогда нужен п2п, что есть вдс. Share this post Link to post Share on other sites
Saab95 Posted November 28, 2009 · Report post А если за наносом еще сеть и там 10 компов? Тут без вдс не обойтись. Share this post Link to post Share on other sites
fastvd Posted November 28, 2009 · Report post А если за наносом еще сеть и там 10 компов? Тут без вдс не обойтись. ну подменит точка всех 10 юзеров на свой мак, немного нагрузки больше, но работать будет...клиент-база) хотя п2п конечно лучше) Share this post Link to post Share on other sites
Saab95 Posted November 28, 2009 · Report post Не будет это работать - клиенты отваливаються через пару минут отсидки. Да и тем более на сервере очень удобно знать мак адрес клиента. Задал вопрос этот в техподдержку так и не ответили. Сам потыкал фильтры разные - что-то нифига не получаеться выборочно зарезать. Ведь трафик через бридж как я понял не ходит, а идет напрямую с wds1..wds10 на ether1 - потому что в бридже никакой трафик не показываеться. Конечно можно попробовать создать 2 фильтра. В одном дропать все что не идет на ether1, в другом дропать все что пришло не с ether1 - только вот пробовать на рабочих точках как-то не охота, попробую завтра тестовый стенд собрать. Share this post Link to post Share on other sites