Разделить два интерфейса друг от друга

[billybons2006]

На Микротик 951G-2Hnd использую 4 порта:

ethernet2 - admin

ethernet3 - входящие перенаправляет (forward) на ethernet5

wlan1 - как клиент в существующей сети, входящие перенаправляет (forward) на ethernet5.

 

На ethernet5 сидит сетевой принтер, который должен быть доступен из двух сетей (ethernet3 и wlan1).

С ethernet3 ни при каких делах не должно быть возможным "пролезть" во wlan1 (и в обратную сторону аналогично).

 

Как эту идею на Микротике сделать?

 

1. 
    
   
2. Вар. 1 (синтаксис условный):
   INPUT с ethernet3 на wlan1 DROP
   INPUT с wlan1 на ethernet3 DROP
   ну или как-то так.
    
   
3. Вар.2 - я не уверен, но интересно узнать - если сделать два бриджа, в первый добавить wlan1 и ethernet5, во второй - ethernet3 и ethernet5.
   Т.е. отделить вообще между wlan1 и ethernet5 возможность трафика.
   Я очень давно на Cisco Catalyst делал так: 1 порт и 3-й - vlan1, 1 и 4 - vlan2 и т.п. При этом 3 и 4 порты были изолированы. Вот и подумал про такой вариант (точнее, аналог - заменить vlan на bridge). Или это я чушь несу? Ох, не исключаю, но реально хочу понять, желательно на пальцах, что тут к чему.
    
   
4. Вар.3 - VLAN - но что-то мудрено описано это да и нужно ли, в самом деле...
    
   

 

Я в любом случае буду делать вар.1 (+возможно что-то еще).

 

Больше всего интересует мнение о вар.2 как наиболее туманном для меня в плане самообучения. Правильно ли я вообще понимаю возможное применение bridge в микротике?

Edited November 24, 2014 by billybons2006

[billybons2006]

Лучшее обучение - это опыт. Короче, купил я еще один микротик для экспериментов и разобрался что это за bridge такой, по крайней мере, частично разобрался. Интерфейсы он друг от друга не защитит (как я мог такое придумать? Ппц.) Но, тем не менее, актуальность вопроса осталась - как изолировать друг от друга интерфейсы - только VLAN?

[LLatypov]

Ребя подсказывайте. Ситуация такая, примерно раз в месяц а может и два случается затык, связь то есть то нет.)

Железо - тестовый борд 2011UAS.

Скрины ниже.

Вот такое пишет в логах.

Вот это на интерфейсах.

 

Провода естесно все рабочие целые. Просто смущает сам факт такого безобразия

Edited November 25, 2014 by LLatypov

[billybons2006]

Пока "изолировал" просто

add action=drop chain=forward comment="Drop from wlan1 to office" in-interface=wlan1 log=yes out-interface=ether5

add action=drop chain=forward comment="Drop from office to wlan1" in-interface=ether5 log=yes out-interface=wlan1

 

До VLAN не добрался.