Перейти до

разрешенные порты в микротик


Рекомендованные сообщения

Добрый день, поджскажите пожалуйста как одному клиенту который получил автоматический ип (привязка по мак) запретить использовать все порты кроме 80 и 443 ?

Ссылка на сообщение
Поделиться на других сайтах

Добрый день, поджскажите пожалуйста как одному клиенту который получил автоматический ип (привязка по мак) запретить использовать все порты кроме 80 и 443 ?

можу допомогти

Ссылка на сообщение
Поделиться на других сайтах

Будьте добры подскажите правильно ли я сделал, создал для правила в фаерволе:

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\
    tcp src-address=192.168.88.105

add action=drop chain=forward comment="only 80/443 dns" dst-port=!53 protocol=\
    udp src-address=192.168.88.105

для ип 192.168.88.105 должны работать только 80 и 443 порты

Ссылка на сообщение
Поделиться на других сайтах

Будьте добры подскажите правильно ли я сделал, создал для правила в фаерволе:

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\
    tcp src-address=192.168.88.105

add action=drop chain=forward comment="only 80/443 dns" dst-port=!53 protocol=\
    udp src-address=192.168.88.105

для ип 192.168.88.105 должны работать только 80 и 443 порты

Можно и так. Правельно.

Ссылка на сообщение
Поделиться на других сайтах

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\
tcp 
src-mac-address=00:00:00:32:00:00

add action=drop chain=forward comment="dns" dst-port=!53 protocol=\
udp 
src-mac-address=00:00:00:32:00:00

 

Где src-mac-address=00:00:00:32:00:00 мак блокируемого клиента :)

Ссылка на сообщение
Поделиться на других сайтах

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

Зачем плодить кучу правил ?

Если в дальнейшем у ТС возникнет надобность блочить не одного, а к примеру 10 клиентов. Можно конечно модифицировать под список это будет так :

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\

tcp src-address-list=Clients_1

add action=drop chain=forward comment="dns" dst-port=!53 protocol=\

udp src-address-list=Clients_1 

Ссылка на сообщение
Поделиться на других сайтах

Добрый день, поджскажите пожалуйста как одному клиенту который получил автоматический ип (привязка по мак) запретить использовать все порты кроме 80 и 443 ?

а він получить завжди один і тотже ip? а якщо буде збій і получить інший? тоді що?

Ссылка на сообщение
Поделиться на других сайтах

Запаковать свичи во vlan per user, сделать костыльный ip unnumbered, повесить на каждый интерфейс dhcp server, потом банить в адрес листе по IP.

Відредаговано 2late
Ссылка на сообщение
Поделиться на других сайтах

Запаковать свичи во vlan per user, сделать костыльный ip unnumbered, повесить на каждый интерфейс dhcp server, потом банить в адрес листе по IP.

а якщо нема керованих свічів тільки 1 mikrotik і все і то виступає в якості сервера.тоді як?

Ссылка на сообщение
Поделиться на других сайтах

а якщо нема керованих свічів тільки 1 mikrotik і все і то виступає в якості сервера.тоді як?

настраиваете DHCP-сервер со static-only списком и add arp for leases. Добавляете запись в leases с маком и айпишкой пользователя. На локальном интерфейсе делаете arp=reply-only. В итоге должно всем выдавать фиксированные к маку айпишки + добавлять запись в ARP. В свою очередь arp=reply-only не даст работы тем, кого нету в списке арп или ip не соответствует mac.. 

Відредаговано jcomm
Ссылка на сообщение
Поделиться на других сайтах

Вы сами себе противоречите:

...который получил автоматический ип (привязка по мак) запретить 

 

а він получить завжди один і тотже ip? а якщо буде збій і получить інший? тоді що?

Как это?  :wacko:

 

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

:wacko: А чем вас не устраивает человеческое назначение пользователям IP-адреса и дальнейшее руление фаерволом?

Відредаговано jcomm
Ссылка на сообщение
Поделиться на других сайтах

Вы сами себе противоречите:

...который получил автоматический ип (привязка по мак) запретить 

 

а він получить завжди один і тотже ip? а якщо буде збій і получить інший? тоді що?

Как это?  :wacko:

 

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

:wacko: А чем вас не устраивает человеческое назначение пользователям IP-адреса и дальнейшее руление фаерволом?

перша цитата це не мої слова.

Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
×
×
  • Створити нове...