разрешенные порты в микротик

[kpik 0]

Добрый день, поджскажите пожалуйста как одному клиенту который получил автоматический ип (привязка по мак) запретить использовать все порты кроме 80 и 443 ?

[John_Doe 301]

для этого в микротике существует фаирвол

[Інет.укр 125]

Добрый день, поджскажите пожалуйста как одному клиенту который получил автоматический ип (привязка по мак) запретить использовать все порты кроме 80 и 443 ?

можу допомогти

[SavPasha 13]

/ip firewall filter
add chain=forward comment="dr> (!www, https)" dst-port=!80,443 protocol=tcp
add chain=forward comment="dr> (!dns)" dst-port=!53 protocol=udp

дальше сами!!

[kpik 0]

Будьте добры подскажите правильно ли я сделал, создал для правила в фаерволе:

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\
    tcp src-address=192.168.88.105

add action=drop chain=forward comment="only 80/443 dns" dst-port=!53 protocol=\
    udp src-address=192.168.88.105

для ип 192.168.88.105 должны работать только 80 и 443 порты

[Інет.укр 125]

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

[arti 0]

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

 

Можно по подробнее?

[max_m 92]

Будьте добры подскажите правильно ли я сделал, создал для правила в фаерволе:

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\
    tcp src-address=192.168.88.105

add action=drop chain=forward comment="only 80/443 dns" dst-port=!53 protocol=\
    udp src-address=192.168.88.105

для ип 192.168.88.105 должны работать только 80 и 443 порты

Можно и так. Правельно.

[max_m 92]

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\
tcp src-mac-address=00:00:00:32:00:00

add action=drop chain=forward comment="dns" dst-port=!53 protocol=\
udp src-mac-address=00:00:00:32:00:00

 

Где src-mac-address=00:00:00:32:00:00 мак блокируемого клиента

[max_m 92]

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

Зачем плодить кучу правил ?

Если в дальнейшем у ТС возникнет надобность блочить не одного, а к примеру 10 клиентов. Можно конечно модифицировать под список это будет так :

add action=drop chain=forward comment="only 80/443" dst-port=!80,443 protocol=\

tcp src-address-list=Clients_1

add action=drop chain=forward comment="dns" dst-port=!53 protocol=\

udp src-address-list=Clients_1 

[Інет.укр 125]

Добрый день, поджскажите пожалуйста как одному клиенту который получил автоматический ип (привязка по мак) запретить использовать все порты кроме 80 и 443 ?

а він получить завжди один і тотже ip? а якщо буде збій і получить інший? тоді що?

[2late 3]

Запаковать свичи во vlan per user, сделать костыльный ip unnumbered, повесить на каждый интерфейс dhcp server, потом банить в адрес листе по IP.

Edited 2014-09-18 18:29:42 by 2late

[Інет.укр 125]

Запаковать свичи во vlan per user, сделать костыльный ip unnumbered, повесить на каждый интерфейс dhcp server, потом банить в адрес листе по IP.

а якщо нема керованих свічів тільки 1 mikrotik і все і то виступає в якості сервера.тоді як?

[jcomm 6]

а якщо нема керованих свічів тільки 1 mikrotik і все і то виступає в якості сервера.тоді як?

настраиваете DHCP-сервер со static-only списком и add arp for leases. Добавляете запись в leases с маком и айпишкой пользователя. На локальном интерфейсе делаете arp=reply-only. В итоге должно всем выдавать фиксированные к маку айпишки + добавлять запись в ARP. В свою очередь arp=reply-only не даст работы тем, кого нету в списке арп или ip не соответствует mac.. 

Edited 2014-09-19 18:29:18 by jcomm

[jcomm 6]

Вы сами себе противоречите:

...который получил автоматический ип (привязка по мак) запретить 

 

а він получить завжди один і тотже ip? а якщо буде збій і получить інший? тоді що?

Как это? 

 

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

А чем вас не устраивает человеческое назначение пользователям IP-адреса и дальнейшее руление фаерволом?

Edited 2014-09-19 18:39:57 by jcomm

[Інет.укр 125]

Вы сами себе противоречите:

...который получил автоматический ип (привязка по мак) запретить 

 

а він получить завжди один і тотже ip? а якщо буде збій і получить інший? тоді що?

Как это? 

 

краще блокувати все інтернет по mac адресу.а потім дозволити тільки ці 3 порти по mac

А чем вас не устраивает человеческое назначение пользователям IP-адреса и дальнейшее руление фаерволом?

перша цитата це не мої слова.

[jcomm 6]

Сорри, не заметил...