Как изолировать сети с помощью маршрутизатора Mikrotik?

15665
Kaypro II

Недавно я получил маршрутизатор Mikrotik для своей сети, и я хочу создать 3 сети, которые изолированы друг от друга, но у всех есть доступ к Интернету:

  1. «Основная» сеть для ПК и т. Д.
  2. Сеть для устройств домашней автоматизации. Я не хочу, чтобы эти узлы имели доступ к другим сетям, но я хочу, чтобы некоторые конкретные узлы в основной сети имели доступ к определенным узлам в этой сети.
  3. Гостевая сеть для посетителей. Я хочу, чтобы узлы в этой сети имели только доступ к Интернету и были полностью изолированы от других сетей.

Я смог настроить эти три сети, используя мосты, следуя этим инструкциям, а также имитируя конфигурацию по умолчанию, поставляемую с маршрутизатором.

Похоже, теперь мне нужно определить правила брандмауэра, чтобы заблокировать трафик между мостами, и именно здесь мне нужна небольшая помощь. Насколько я понимаю, программное обеспечение брандмауэра Mikrotik основано на Linux iptables.

  1. Кажется, что есть два способа сделать это: конфигурация основного брандмауэра /ip firewall filterи секция для моста /interface bridge filter. Какой из них лучше всего использовать? Каковы плюсы и минусы каждого?

  2. Я экспериментирую с фильтрами моста, но рядом со всеми моими правилами есть небольшая иконка полосы движения, которая мне не нравится . Я не могу найти никакого объяснения того, что означает значок.

  3. Как мне настроить правила? Было бы более легко создать группу отдельных цепочек для каждого моста? Если так, как должны быть организованы цепочки?

  4. Похоже, мне нужно определить forwardправила для этого. Есть ли какие- inputто outputправила или правила, которые мне также понадобятся?

  5. У меня должны быть правила, совпадающие на мостах / интерфейсах (т. Е. На мосту, на мосту, на интерфейсе WAN и т. Д.), Правильно? Например, чтобы блокировать пакеты из основной сети в сеть домашней автоматизации, мне нужны правила, такие как in-bridge = main out-bridge = home_automation action = DROP, верно?

5
Если у вас есть альтернативный подход, не стесняйтесь предложить его. Все эти сети настроены на одном маршрутизаторе (им назначены разные порты коммутатора / SSID), но, похоже, маршрутизатор будет автоматически маршрутизировать между всеми сетями, к которым он имеет маршруты. Kaypro II 8 лет назад 0
Вышеупомянутый комментарий был в ответ на удаленный комментарий. Kaypro II 8 лет назад 0

1 ответ на вопрос

3
Benoit PHILIPPON

Indeed, Mikrotik devices does routing automatically between networks. Consider the two networks 10.0.0.1/16 and 192.168.1.0/24, for example. If you want to block traffic between those two, just add two firewall rules

ip firewall filter add chain=forward src-address=10.0.0.0/16 dst-address=192.168.1.0/24 action=drop ip firewall filter add chain=forward src-address=192.168.1.0/24 dst-address=10.0.0.0/16 action=drop

so you drop packets in both directions.

Похожие вопросы