[Zjem_Ci_nos]

Siema
Zacząłem się bawić z Mikrotikiem, w końcu ( ͡° ͜ʖ ͡°)
Mam 3xETH, które chcę zostawić jak są, wpięte w bridge i tyle. Mam też dwa radia, też wpięte w ten bridge. Z jednego radia chcę zablokować możliwość wejścia na WAN. Zrobiłem regułę na firewall, coś takiego:
src addres: 192.168.1.0/24 (sieć, którą robi Mikrotik)
Dst Address: 192.168.0.0/24 (sieć za Mikrotikiem, która jest WANem)
Int Interface List: DAS (interfejs, który zrobiłem i dodałem do niego WiFi, z którego ma nie być dostępu do WAN)
Action: drop

Nooo i ta reguła nie działa, dalej sobie wesoło mogę latać z tego radia po zakresie 192.168.0.0 XD
Co zepsułem?

#mikrotik #sieci #lan #wan #siecikomputerowe

[PotwornyKogut]

@Zjem_Ci_nos jeśli masz radia wpięte w bridge, to firewall nie działa - bo nie ta warstwa sieciowa.
aczkolwiek we właściwościach bridge można włączyć korzystanie z firewalla.

[Zjem_Ci_nos]

@PotwornyKogut: Mam chyba zbyt starą wersję RouterOS bo nie mam tej opcji.
Jak to rozwiązać, muszę rozpiąć radio od bridge w takim razie?
A jak to spiąć potem, VLANem?

[PotwornyKogut]

@Zjem_Ci_nos: w winbox wchodzisz w menu po lewej w bridge i w okienku masz klawisz Settings - musiałaby być bardzo stara wersja, żeby tam nie było "use IP firewall".

[PotwornyKogut]

@Zjem_Ci_nos: a co do drugiego pytania, jeśli wypniesz wifi z bridge to na tym interfejsie byś musiał postawić osobny DHCP dla klientów, bo nie będą otrzymywali adresów IP - bo niby skąd. i wtedy pewnie nadać adres IP temu interfejsowi i do tego jeszcze zrobić NAT (albo pododawać trasy w obie strony) - więc raczej na tym etapie znajomości z mikrotikiem bym się za to nie brał. obejrzyj najpierw trochę tutoriali

[PotwornyKogut]

@Zjem_Ci_nos: hint: jak zrobisz regułkę i będziesz ją testował ze stacji roboczej to patrz sobie na liczniki w okienku firewall (kolumny bytes / packets) - będziesz widział, czy reguła działa. w działającej regule przybywa bajtów, a jeśli jest omijana albo ruch do niej nie pasuje - liczniki stoją. na górze masz przycisk kasowania liczników, dla łatwości obserwacji

[Zjem_Ci_nos]

@PotwornyKogut: dobra, znalazłem settings, zastosowałem checkiem, ale nie bangla ta reguła, jakby ją kompletnie ignorowało....
Kanał na YT znam, już się przydał np. do statycznych adresów IP ( ͡º ͜ʖ͡º)

[PotwornyKogut]

@Zjem_Ci_nos
to nie jest ignorowanie, tylko najwyraźniej twój ruch z wifi nie pasuje do tego co ustawiłeś w regułce ;)

[PotwornyKogut]

@Zjem_Ci_nos to zrób tak:
wywal interfejs WiFi z brydża

nadaj mu adres z innej podsieci, np.192.168.33.0/24

odpal kreator konfiguracji serwera dhcp na tym interfejsie (obejmuje to stworzenie puli adresowej dla nowej podsieci, ale kreator chyba to ogarnie)

zobacz czy komputery podpięte do tego WiFi dostają adresację którą ustawiłeś na dhcp (czyli z 33)

zobacz wówczas czy mają dostęp do neta

jeśli nie mają to w regułach firewalla na drugiej karcie ustaw NAT

[Zjem_Ci_nos]

@PotwornyKogut: tylko problem polega tutaj w tym, że chciałbym, żeby użytkownicy WLAN utrzymali łączności z użytkownikami LAN, ale nie mieli dostępu do sieci - temu też kombinowałem z Firewallem ( ͡º ͜ʖ͡º)

[PotwornyKogut]

@Zjem_Ci_nos no to wytnij na firewallu tylko ruch do neta. nie bardzo rozumiem architekturę w twojej sieci, ale router jest po to żeby komunikować podsieci ze sobą

[Zjem_Ci_nos]

@PotwornyKogut:
Założenia sieci:
Sieć 1 - główna sieć, 192.168.0.0/24, stworzona na innym routerze
Sieć 2 - Sieć tworzona przez Mikrotik, musi być do niej dostęp z 192.168.0.0/24 i jest
W skład sieci 2 wchodzą:
ether 1 - WAN 192.168.0.0/24
ether 2 - LAN 192.168.1.0/24, mają dostęp do WAN
ether 3 - LAN 192.168.1.0/24, mają dostęp do WAN
WLAN1 - ma być w nim dostęp tylko do 192.168.1.0/24
WLAN2 - 192.168.1.0/24, mają

[PotwornyKogut]

@Zjem_Ci_nos odpiszę wieczorem

[PotwornyKogut]

@PotwornyKogut sorry, nie miałem czasu, temat jeszcze aktualny?

[piotrek2555]

@Zjem_Ci_nos: Albo zrób tam osobny vlan i w bridge vlan filtering włącz i poustawiaj w vlanie na moscie, wtedy masz osobną podsieć ip i możesz ruch wyciąć. Albo spróbuj w bridge filtering wyciąć ten ruch.