Перейти до

Запрет доступа с определенных IP другой подсети на Mikrotik

EvilEyes

Автор: EvilEyes,
в Для тих, хто в пелюшках ще

 Share Подписчики 0

Рекомендованные сообщения

EvilEyes

EvilEyes 0

Опубликовано:
Опубликовано: (відредаговано)

Всем добрый день, подскажите что я не так делаю или как сделать лучше.

Есть следующая сеть.

 

Сеть 192.168.11.0\24 на Mikrotik1 подключена к провадеру ISP1 

Сеть 192.168.0.0\24 на Mikrotik2 подключена к провадеру ISP2 

На Mikrotik2 поднят сервер PPP. Mikrotik1 подключается VPNом (создается интерфейс TEST), маршруты прописал.

Маршрутизация трафика идет через 192.168.8.0\24 , в общем все как в официальной инструкции. Все работает как нужно, доступ из 192.168.11.0\24 есть к ресурсам 192.168.0.0\24. Но этот доступ никак не контролируется и я пытаюсь ограничить доступ из 192.168.11.0\24 в 192.168.0.0\24 например для опеределенных IP. Проблема в том что в 192.168.0.0\24 есть доступ кроме сетевого хранилища еще и на сервер видеонаблюдения, т.е. откроется вебморда, а я хочу убрать эту возможность определенным IP из 192.168.11.0\24 . Что я делаю:

Запускаю из сети 192.168.11.0\24 с 192.168.11.60 пинг на ресурс  192.168.0.0\24 - 192.168.0.25 (NAS Synology). Пинг есть.

На  Mikrotik2  открываю firewall и создаю правило как на скрине ниже. Адрес источника менял и на 192.168.11.0\24 и на 192.168.0.60 и на 192.168.8.5 (адресс клиента VPN), но так и не могу заставить правило работать. Что я вижу в torch по интерфейсу TEST прилагаю вторым фото.

 

В результате "подскажите что я не так делаю или как сделать лучше."

 

 

Благодарен за любые подсказки как сделать лучше и критику правильности решения проблемы.

post-33150-0-52160100-1468747812_thumb.jpg

post-33150-0-03966600-1468747813_thumb.jpg

Відредаговано EvilEyes
Ссылка на сообщение
Поделиться на других сайтах
vlin

vlin 43

Опубліковано:
Опубліковано:

Какой action у этого правила файервола ?

О срабатывании правила можно судить по счетчикам на закладке Statictics (или цифры в списке правил).

Ссылка на сообщение
Поделиться на других сайтах
EvilEyes

EvilEyes 0

Опубліковано:
  • Автор
Опубліковано:

Какой action у этого правила файервола ?

О срабатывании правила можно судить по счетчикам на закладке Statictics (или цифры в списке правил).

Я знаю. =) 

Не срабатывает, все по 0.

Для начала стоит действие в лог выводить.

Ссылка на сообщение
Поделиться на других сайтах
EvilEyes

EvilEyes 0

Опубліковано:
  • Автор
Опубліковано:

Уберите in interface, скорее всего проблема в этом.

Убирал - не срабатывает. Я уже всевозможные комбинации перепробовал. И подсети писал и точные ip, пробовал с протоколом и без. менял адреса зеркально, вдруг я напутал как "видит" это рутер.

Т.е. в теории я правильно пытаюсь делать, значит я упускаю какую то мелкую деталь...

Ссылка на сообщение
Поделиться на других сайтах
Sandorik

Sandorik 21

Опубліковано:
Опубліковано:

вообще непонятно ничего.... в правиле стоит блокировка 192.168.8.0, хатя это подсеть впна.... должно стоять 192.168.11.0 ?

Ссылка на сообщение
Поделиться на других сайтах
EvilEyes

EvilEyes 0

Опубліковано:
  • Автор
Опубліковано:

вообще непонятно ничего.... в правиле стоит блокировка 192.168.8.0, хатя это подсеть впна.... должно стоять 192.168.11.0 ?

Адрес источника менял и на 192.168.11.0\24 и на 192.168.0.60 и на 192.168.8.5 (адресс клиента VPN), но так и не могу заставить правило работать.

 

Ссылка на сообщение
Поделиться на других сайтах
SavPasha

SavPasha 13

Опубліковано:
Опубліковано: (відредаговано) 
/ip firewall filter
add chain=forward comment="ac) network-drop / allowed" dst-address-list=allowed src-address-list=network-drop
add action=drop chain=forward comment="dr) network-drop / network-drop" dst-address-list=network-drop \
    src-address-list=network-drop

/ip firewall address-list
add address=192.168.11.0/24 list=network-drop
add address=192.168.0.0/24 list=network-drop
add address=192.168.0.60 list=allowed

Адрес-листи:

network-drop - мережі, між якими заборонено обмін контентом

allowed - адреса, яким дозволено обмін контентом

 

Примітка:

  Але у вашому випадку потрібно наповнити адрес-листи відповідними значеннями

Відредаговано SavPasha
Ссылка на сообщение
Поделиться на других сайтах
EvilEyes

EvilEyes 0

Опубліковано:
  • Автор
Опубліковано: 
/ip firewall filter
add chain=forward comment="ac) network-drop / allowed" dst-address-list=allowed src-address-list=network-drop
add action=drop chain=forward comment="dr) network-drop / network-drop" dst-address-list=network-drop \
    src-address-list=network-drop

/ip firewall address-list
add address=192.168.11.0/24 list=network-drop
add address=192.168.0.0/24 list=network-drop
add address=192.168.0.60 list=allowed

Адрес-листи:

network-drop - мережі, між якими заборонено обмін контентом

allowed - адреса, яким дозволено обмін контентом

 

Примітка:

  Але у вашому випадку потрібно наповнити адрес-листи відповідними значеннями

 

проверил этот варинт - не работает. Хотя он полностью логичен и мне понятен.

Но большое спасибо за помощь. 

Ссылка на сообщение
Поделиться на других сайтах
SavPasha

SavPasha 13

Опубліковано:
Опубліковано: (відредаговано)

Ці правила мають бути першими, а правила маскаразду на роутерах мають бути привязані до WAN-інтерфейсів в іншому випадку ці правила нічого не фільтруватимуть!!

 

Готовий помогти!! пиши в приват домовимся про віддалений доступ.

Відредаговано SavPasha
Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
 Share
Подписчики 0
Перейти до переліку тем

  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • ГрозаИнтернета
      Продам оборудование.
      Від ГрозаИнтернета
      Всем привет. Сеть разбили, продаю оборудование, которое удалось спасти.
      Роутер MikroTik 1036-12G-4S - 16500 грн.
      Сервер Dell R410(Xeon L5640(60Вт), 16 Gb RAM, 2x300 Gb SAS, iDrac, Raid, IPMI) - 4500 грн.
      Коммутатор ZyXEL MES-3528 - 2000 грн.
      Коммутатор HUAWEI S2326 - 1500 грн.
      Коммутатор Dell PowerConnect 6224F(опц.10G) - 5000 грн
      Коммутатор D-Link DGS-3627G (нюанс) - 1000 грн
      OLT BDCom P3310(Пролайн упс) - 9000 грн
      Упс APCSmart-UPS RT 2000 + картаAP9619 + кабель для подключения внешних АКБ - 12500 грн.
      Коммутатор ELTEX MES2324FB AC в коробке - 10000
      OLT EPON E9004-D 10G (Пролайн упс) в коробке - 10000
      Кабель OK-NET S/FTP Cat.6a 500Mhz LSOH AWG 23 4pr 280 метров - 8500
      Куча SFP EPON C+++, SFP SC, сетевые карты, твинакс кабеля.

    • Інет.укр
      Продам MikroTik RB
      Від Інет.укр
      Продам mikrotik rb2011 червоний 1200грн
      MikroTik RB2011UiAS  1400грн
      MikroTik RB3011 новий $85
      MikroTik RB4011iGS+RM  новий 170$ 
      MikroTik RB750UP - 550грн
      MikroTik  RB750P-PB - 800грн
      MikroTik RB960PGS-PB PowerBox Pro  Новий 80$
      RB433, RB600, RB800 ціна договірна.
       
    • Інет.укр
      Продам MikroTik CRS
      Від Інет.укр
      Продам CRS226-24g-2s+RM б.у 3500грн
      CRS326-24g-2s+IN новий 148$
      CRS212-1g-10s-1s+in  б.у 99$
      CRS305-1g-4s+in б.у $100
       
    • viktorrc17
      Mikrotik проброс порта допоможіть
      Від viktorrc17
      Є мікротік з білим ip 37.57.хх.хх Налаштований nat. Srcnat- masquerade
      Lan 192.168.0.1
      До нього підключено другий мікротік по dhcp 192.168.0.2 
      Налаштований nat. Srcnat- masquerade
      Lan 192.168.1.1
      До другого роутера підключено nanostation з адресою 192.168.1.5
      На першому мікротік прокинув порт на другій мікротік. ( Chain-dstnat.  Protocol-  tcp. Dst port 726.  Action - dst-nat. To adress 192.168.0.2  To ports 80)
      Доступ на другий мікротік по білому ір є. 
      Треба зробити доступ на nanostation з білого ір.
      Підкажіть, прописував по аналогії з першим мікротіком на 192.168.1.5. Нічого не вийшло
       
    • defence_k
      ЗСУ потребує MikroTik RB751U(G)-2HnD або аналогічні
      Від defence_k
      Військовій частині ЗСУ дуже потрібні старенькі MikroTik RB751U(G)-2HnD або аналогічні. Наявність блока живлення та стан корпуса байдуже, живитися будуть по РоЕ. RB951 теж годяться, проте в них гірший радіотракт . 
      Будемо вдячні за кожен пристрій.
      PS не відмовимося від фахової консультації з побудови CAPsMAN
×
×
  • Створити нове...