Запрет доступа с определенных IP другой подсети на Mikrotik

[EvilEyes 0]

Всем добрый день, подскажите что я не так делаю или как сделать лучше.

Есть следующая сеть.

 

Сеть 192.168.11.0\24 на Mikrotik1 подключена к провадеру ISP1 

Сеть 192.168.0.0\24 на Mikrotik2 подключена к провадеру ISP2 

На Mikrotik2 поднят сервер PPP. Mikrotik1 подключается VPNом (создается интерфейс TEST), маршруты прописал.

Маршрутизация трафика идет через 192.168.8.0\24 , в общем все как в официальной инструкции. Все работает как нужно, доступ из 192.168.11.0\24 есть к ресурсам 192.168.0.0\24. Но этот доступ никак не контролируется и я пытаюсь ограничить доступ из 192.168.11.0\24 в 192.168.0.0\24 например для опеределенных IP. Проблема в том что в 192.168.0.0\24 есть доступ кроме сетевого хранилища еще и на сервер видеонаблюдения, т.е. откроется вебморда, а я хочу убрать эту возможность определенным IP из 192.168.11.0\24 . Что я делаю:

Запускаю из сети 192.168.11.0\24 с 192.168.11.60 пинг на ресурс  192.168.0.0\24 - 192.168.0.25 (NAS Synology). Пинг есть.

На  Mikrotik2  открываю firewall и создаю правило как на скрине ниже. Адрес источника менял и на 192.168.11.0\24 и на 192.168.0.60 и на 192.168.8.5 (адресс клиента VPN), но так и не могу заставить правило работать. Что я вижу в torch по интерфейсу TEST прилагаю вторым фото.

 

В результате "подскажите что я не так делаю или как сделать лучше."

 

 

Благодарен за любые подсказки как сделать лучше и критику правильности решения проблемы.

Відредаговано 2016-07-17 09:33:05 EvilEyes

[vlin 43]

Какой action у этого правила файервола ?

О срабатывании правила можно судить по счетчикам на закладке Statictics (или цифры в списке правил).

[EvilEyes 0]

Какой action у этого правила файервола ?

О срабатывании правила можно судить по счетчикам на закладке Statictics (или цифры в списке правил).

Я знаю. =) 

Не срабатывает, все по 0.

Для начала стоит действие в лог выводить.

[lemosh 60]

Уберите in interface, скорее всего проблема в этом.

[EvilEyes 0]

Уберите in interface, скорее всего проблема в этом.

Убирал - не срабатывает. Я уже всевозможные комбинации перепробовал. И подсети писал и точные ip, пробовал с протоколом и без. менял адреса зеркально, вдруг я напутал как "видит" это рутер.

Т.е. в теории я правильно пытаюсь делать, значит я упускаю какую то мелкую деталь...

[sk1nn3r 0]

 chain=forward action=drop src-address=192.168.0.0/24 dst-address=192.168.11.0/24 log=no log-prefix=""

 chain=forward action=drop src-address=192.168.11.0/24 dst-address=192.168.0.0/24 log=no log-prefix=""

 

А так?

[EvilEyes 0]

Спасибо, вечером попробую.

[Sandorik 21]

вообще непонятно ничего.... в правиле стоит блокировка 192.168.8.0, хатя это подсеть впна.... должно стоять 192.168.11.0 ?

[EvilEyes 0]

вообще непонятно ничего.... в правиле стоит блокировка 192.168.8.0, хатя это подсеть впна.... должно стоять 192.168.11.0 ?

Адрес источника менял и на 192.168.11.0\24 и на 192.168.0.60 и на 192.168.8.5 (адресс клиента VPN), но так и не могу заставить правило работать.

 

[SavPasha 13]

/ip firewall filter
add chain=forward comment="ac) network-drop / allowed" dst-address-list=allowed src-address-list=network-drop
add action=drop chain=forward comment="dr) network-drop / network-drop" dst-address-list=network-drop \
    src-address-list=network-drop

/ip firewall address-list
add address=192.168.11.0/24 list=network-drop
add address=192.168.0.0/24 list=network-drop
add address=192.168.0.60 list=allowed

Адрес-листи:

network-drop - мережі, між якими заборонено обмін контентом

allowed - адреса, яким дозволено обмін контентом

 

Примітка:

  Але у вашому випадку потрібно наповнити адрес-листи відповідними значеннями

Відредаговано 2016-07-19 06:24:58 SavPasha

[EvilEyes 0]

/ip firewall filter
add chain=forward comment="ac) network-drop / allowed" dst-address-list=allowed src-address-list=network-drop
add action=drop chain=forward comment="dr) network-drop / network-drop" dst-address-list=network-drop \
    src-address-list=network-drop

/ip firewall address-list
add address=192.168.11.0/24 list=network-drop
add address=192.168.0.0/24 list=network-drop
add address=192.168.0.60 list=allowed

Адрес-листи:

network-drop - мережі, між якими заборонено обмін контентом

allowed - адреса, яким дозволено обмін контентом

 

Примітка:

  Але у вашому випадку потрібно наповнити адрес-листи відповідними значеннями

 

проверил этот варинт - не работает. Хотя он полностью логичен и мне понятен.

Но большое спасибо за помощь. 

[SavPasha 13]

Ці правила мають бути першими, а правила маскаразду на роутерах мають бути привязані до WAN-інтерфейсів в іншому випадку ці правила нічого не фільтруватимуть!!

 

Готовий помогти!! пиши в приват домовимся про віддалений доступ.

Відредаговано 2016-07-21 19:50:41 SavPasha

[lemosh 60]

значит перед вашим запрещающим правилом стоит разрешающее для тех же адресов