[Smiley]

приветствую, вообщем задача вроде бы тривиальна но решить её не получается.

есть 1 роутер (микротик) на нем крутиться 6 разных сетей, необходимо запретить маршрутизацию между сетями.

Порбовал средствами NAT перекрыть (смс скрины) но к сожалению не вышло/

[biox]

Нат то тут при чём?

просто создайте соответствующие "Filter rules".

[Smiley]

Можно чуть подробнее?

[msdt]

приветствую, вообщем задача вроде бы тривиальна но решить её не получается.

есть 1 роутер (микротик) на нем крутиться 6 разных сетей, необходимо запретить маршрутизацию между сетями.

Порбовал средствами NAT перекрыть (смс скрины) но к сожалению не вышло/

 

В цепочке FORWARD двумя правилами разрешаете трафик из интерфейса, смотрящего в интернет, и наоборот, третьим правилом запрещаете любой другой трафик. Все.

Изменено 2 сентября, 2012 пользователем msdt

[Smiley]

приветствую, вообщем задача вроде бы тривиальна но решить её не получается.

есть 1 роутер (микротик) на нем крутиться 6 разных сетей, необходимо запретить маршрутизацию между сетями.

Порбовал средствами NAT перекрыть (смс скрины) но к сожалению не вышло/

 

В цепочке FORWARD двумя правилами разрешаете трафик из интерфейса, смотрящего в интернет, и наоборот, третьим правилом запрещаете любой другой трафик. Все.

По типу (см. скрин) верно я Вас понял ?

[Saab95]

Приведите в порядок адресацию сетей, что бы были все рядышком, например в 10.х.х.х, тогда создав одно правило, где будет src = 10.0.0.0/8 и dst = 10.0.0.0/8 делать дроп. Вот и все дела.

[Smiley]

Религия не позволяет, сделать всех в одну под сеть. =)

На данных сетях уже все поднято и функционирует,

например в 10.х.х.х, тогда создав одно правило, где будет src = 10.0.0.0/8 и dst = 10.0.0.0/8 делать дроп. Вот и все дела.

не очень понятно

[Saab95]

Клиент у вас может идти либо в интернет, либо на те подсети, куда ему не должно быть доступа. Вот вам и надо при запросе на эти адреса блокировать трафик.

[uxcr]

У микротика стандартные врфы есть, в отличие от фаервола по-моему куда логичнее использовать их.

[biox]

есть волшебный сайт

[Smiley]

Я пересмотрел уже возможные сайты. Не как не получается запретить маршрутизацию между сетями. Можно на пальцах ?

[tartila]

Я пересмотрел уже возможные сайты. Не как не получается запретить маршрутизацию между сетями. Можно на пальцах ?

 

Наверное, Вы что-то подобное хотите сделать?

 

/ip firewall filter add chain=forward src-address=192.168.0.0/24 dst-address=192.168.1.0/24 action=drop

Изменено 19 сентября, 2012 пользователем tartila

[Smiley]

Я пересмотрел уже возможные сайты. Не как не получается запретить маршрутизацию между сетями. Можно на пальцах ?

 

Наверное, Вы что-то подобное хотите сделать?

 

/ip firewall filter add chain=forward src-address=192.168.0.0/24 dst-address=192.168.1.0/24 action=drop

это будет выглядеть странно но все равно проходит коннект, к примеру RDP из одной сети подключаюсь к другой, а не должно быть так. = (

[bomberman]

В цепочке FORWARD двумя правилами разрешаете трафик из интерфейса, смотрящего в интернет, и наоборот, третьим правилом запрещаете любой другой трафик. Все.

+1

Всего 3 правила, и всё красиво. Всегда так делаю. Никто ещё не жаловался. :)

[montino]

Может в сети есть коммутатор L3?

[Night_Snake]

фаервол - большего не надо.

Но, сдается мне ТС сам не до конца понимает, что он хочет...

[biox]

Но, сдается мне ТС сам не до конца понимает, что он хочет...

Кстати очень похоже на то...

 

Товарищь ТС а у вас порты вашего микротика случайно в бридже не лежат?

Покажите плиз скрин из "Bridge/Ports"

Изменено 20 сентября, 2012 пользователем biox

[tartila]

Я пересмотрел уже возможные сайты. Не как не получается запретить маршрутизацию между сетями. Можно на пальцах ?

 

Наверное, Вы что-то подобное хотите сделать?

 

/ip firewall filter add chain=forward src-address=192.168.0.0/24 dst-address=192.168.1.0/24 action=drop

это будет выглядеть странно но все равно проходит коннект, к примеру RDP из одной сети подключаюсь к другой, а не должно быть так. = (

 

/ip address pr

/ip firewall nat pr

/ip firewall nat stats

/ip firewall filter pr

/ip firewall filter pr stats

/interface bridge pr

/interface bridge port pr

 

Покажите всё.

Изменено 20 сентября, 2012 пользователем tartila

[Smiley]

Боюсь это не реально, т.к очень много строк. = (

[tartila]

Боюсь это не реально, т.к очень много строк. = (

 

Боюсь, тогда вам надо самому разбираться, ибо телепаты в отпуске. :)

[Nikem79]

Я у себя реализовал таким образом (см. скрин)

 

В файрволе в Фильтр рулзах прописал цепочку forward, SRC address - подсеть к которой нужно закрыть доступ (192.168.12.0/24), Out Interface - исходящий интерфейс который имел доступ, action drop.

 

Попробуйте, может поможет. Не забудьте правило перетащить в самый верх.

Изменено 8 мая, 2014 пользователем Nikem79

[Барагоз]

Я бы в filter вообще не лез в таких целях...

ip route rule add src-address=192.168.233.0/24 dst-address=192.168.234.0/24 action=unreachable

м?

[t1bur1an]

Барагоз не парься, они в микротиках любят все делать в фаерволле да с маркировками пакетов :)

[Night_Snake]

Я бы в filter вообще не лез в таких целях...

Имхо, для запрещения трафика юзать фаервол - самое логичное решение. Если кто-то кроме вас будет это потом траблшутить, то в route rule полезет далеко не сразу...

[myst]

Я бы в filter вообще не лез в таких целях...

ip route rule add src-address=192.168.233.0/24 dst-address=192.168.234.0/24 action=unreachable

м?

Отличный план чо. Вместо того чтоб решить проблему предназначенным для этого средством, проблема решается каким то костылем сбоку.

Вы всегда так делаете?