при активации данного правила /ip firewall add chain=prerouting action=mark-routing new-routing-mark="lan_out_ISP2" passthrough=no у меня шлюз не пингуется, но пути в роутах все прописаны

Чуваки а ведь на один и тот же бридж можно же вешать несколько айпи из разных сетей, это ведь ничем не чревато?

всё ок будет

хоть тыщу адресов

хоть тыщу адресов

да он просто в продакшене висит😀 чота я там в свое время на городил: разные свич группы в разные бриджи объединил, щас хочу поплоще сделать схему, все в один бридж и повесить на него из двух сетей айпишники

вешай

ничё не будет

бекап олько сделай

Ctrl+X никто не отменял все-таки...

Всем привет, я уже писал об этом мне надо сделать что бы с компа работали только 3 сайта и все, остальной иное не открывался

Я добавил правило в фраер вол

Но таким образом я блочу только вк, а мне надо что бы вк работал а остальные сайты не открывались

может надо убрать !

Если ставлю восклицательный знак то вообще ничего не открывается

! делает исключение того что в поле указано

наверное надо тебе все запретить и выше уже сделать разрешающее правило на вк и прочее

может с днс-ами проще поиграться? пусть он резолвит толко эти три сайта.. а остальное шлёт нафиг

Это надо только для одного компа в локалке

может ему просто файл хост написть с нужными адресами, а ручками в настройках сетевого адаптера 127.0.0.1

ради одного и не трудно,

А если потом надо будет на 10 это сделать

Лучше сразу заморочиться

ради одного и не трудно,

Вопрос в том есть ли у юзера админские права в системе...

)) да кстати

балин, копирнешь им этот файлик 10 раз, они даже не узнают, что и как работает, что за юзверы?

Бухи мне надо это реализовать через Микротик

Делай черех хост файл в жизни не допрут

создай пул адресов на микроте с днс адресом левым, а файл хост сделай на нужные и усе

Блин если мне надо будет список сайтов менять постоянно что я по компам прыгать буду, мне не надо файликом хост, мне надо адекватное решение через Микротик

И оно есть

сделай DNS сервер отдельный или метароутер или на другом мироктике

и DNS заросы с нужных компов заворачивай туда

А что файрволом это нельзя сделать?

через dst-nat

фаерволом сильно дороже выйдет

и вообще не выйдет

т.к. HTTPS

У мину стоит там ССР проц загружен на 1%

лучше включи на нем простые PPC очереди

Делай черех хост файл в жизни не допрут

👍🏼😂

более разумная трата ресурсов

HTTPS ты как отфильтруешь?

если у тебя нет своего прокси сервера, который делает терминейшн HTTPS по середине и если на компах не стоит его сертификат, то никак

а если есть, то это не микротик)

Хочешь сказать на Микротике этого не сделать?

я не уверен, но на обычном микротике я бы не стал. Задача требует много ресурсов

Если можно запретить все, значит можно и открыть часть

как ты эту часть найдешь?

HTTPS же

Белый чёрный лист

да не видно что внутри, ну камон!

микротик ничего не знает о том, что пересылает

почитай про HTTPS и вопросы отпадут

По-любому есть решение

решения 2. оба я озвучил выше

решения 2. оба я озвучил выше

squid

либо фильтровать на стадии DNS реквестов, либо какой нубудь KErio Control (все что способно на терминирование HTTPS со своими сертфикатами, сгеренрированными на лету)

либо фильтровать на стадии DNS реквестов, либо какой нубудь KErio Control (все что способно на терминирование HTTPS со своими сертфикатами, сгеренрированными на лету)

"доступный" керио без веб фильтров вообще ни о чем...

Ну ты вот такой самоуверенный я вот больше чем уверен что их не 2 а больше

Мне помощь нужна а ты мне говоришь что никак и что мне делать бросит все? И уволится с работы)

Ну ты вот такой самоуверенный я вот больше чем уверен что их не 2 а больше

ты в фильтре указываешь контент vk.com Помнишь? роутер не сможет увидеть это содержимое, т.к. HTTPS использует ассиметричное шифрование из конца в конец

Мне помощь нужна а ты мне говоришь что никак и что мне делать бросит все? И уволится с работы)

ну не может микротик проксировать https что тут сделать-то...

У него есть веб прокси

про сквид я хотел сказать, но если его нет долго его нужно делать потратить больше времени чем файлик хост раскидать, установи радмин и кидай файл, не нужно бегать по компам

про сквид я хотел сказать, но если его нет долго его нужно делать потратить больше времени чем файлик хост раскидать, установи радмин и кидай файл, не нужно бегать по компам

это понятно, способ совсем на дурака, главное быть уверенным что бухгалтер не продвинутый :)

2 варианта. терминируй DNS запросы на специальный DNS сервер где разрешено только 3 сайта. Или используй что то что умеет ПРОЗРАЧНО пропускать через себя HTTPS трафик. Но тогда придестся заморочиться с сертификатами на каждом клиенте!

Ребят вы чего какие флуд разводите, я объясняю что мне надо это реализовать через Микротик что тут не понятного, если вы помоч не можете зачем писать

создать ограниченного юзера на локалке тоже можно, а лучще домен и вообще не париться, что с подменай хостс. что с настройками сетевух

ну сделай через DNS, микротиком меняй DST адрес. Сделай метароутер

хотя можно сейчас DNS имена использовать в dst-address

так что наверное ты все же прав насчет еще одного способа. Создай адрес лист с белыми сайтами

и в фаерволе разрешай доступ только к ним

сейчас напишу скрипт

Спасибо, буду очень благодарен

/ip firewall filter add action=accept chain=forward dst-address-list=Roskomnadzor src-address-list=buh

адрес листы только создай

А в адрес лист весь инет нудно будет добавить