Влан со своей подсеткой на пользователя

[vnkorol]

Маршрутизатор RB2011. Небольшой пионернет, на каждого пользователя отдельный влан со своей подсеткой. Так же на отдельном влане гостевой вайфай. До недавнего времени думал, что, например, с вайфая не будет доступа к самба-серверу одного юзера, т.к. его, естественно, не видно в сетевом окружении. Но оказалось, что по айпишнику доступ к шаре вполне себе есть. Попробовал сделать такое правило, чтобы вайфай пускало только в интернет - не помогло.

 

20 ;;; vlan123 wifi - internet only

chain=forward action=drop in-interface=!pppoe-rostelecom

out-interface=sfp1-vlan0123-wifiural

[tartila]

Более подробно о конфиге расскажите...

[vnkorol]

Выход в интернет - pppoe соединение (эзернет в квартиру). На каждого клиента своя сетка 192.168.ххх.0/24. Каждая клиентская сетка на отдельном влане. в центре сети управляемый свитч. У клиента может быть как роутер, так и просто свитч, в который подключены несколько компов. Необходимо полностью изолировать клиентов друг от друга. Чтобы клиент мог видеть только интернет.

[Saab95]

Ну так создайте правило, src.address = 192.168.0.0/16 dst.address = 192.168.0.0/16 action = drop и всего делов.

[vnkorol]

Ну так создайте правило, src.address = 192.168.0.0/16 dst.address = 192.168.0.0/16 action = drop и всего делов.

 

Огромное спасибо, то, что нужно! А подскажите, каким правилом перед этим разрешить доступ из 122-ой подсети к 77-ой (122-я - это я, 77 - это mamagment vlan там расположен)?

[Saab95]

Тогда перед ним создайте 2 правила (их можно мышкой перетаскивать вверх/вниз), в первом src.address = 192.168.122.0/24 dst.address = 192.168.77.0/24 action = accept, а во втором адреса местами поменяйте.

 

Поэтому рекомендуется использовать для управления и для клиентов разные подсети, что бы можно было легко блокировать доступ, например клиентам 10.10.0.0/16 а для управления 10.0.0.0/16, тогда запретив общение клиентам не придется делать специальных правил для разрешения доступа служебного трафика.

[vnkorol]

Спасибо! Всё заработало :)