Я их раз 10 прочитал и ничего не могу понять

Покажите все правила

Чтобы я ни делал, "общение" между устройствами остаётся. Да, можно отключить интернет. Да, можно отключить доступ на сам микрот. Но между устройствами связь остаётся - пинги, доступ на вэб-морду и т.п. Микрот стает самым обычным свичем

есть доступ на вебморду при этом фаерволом закрыто? у вас что-то настройками явно не так

Счастье длилось недолго.... Подключаю другой ноут - он ни к чему не конектится как и должно быть. Потому что не получает айпишку. Но если я вручную в этот ноут пропишу айпишку, то он получает доступ к устройству в сети, хотя в АРП таблице этот айпи не отображается

При одном условии, что вручную вписать айпи. Я так проверяю настройки другим устройством. Без этого "движения" нет никакого доступа

Чтобы я не делал, таким методом нивелируются все эти защитные настройки

если не получается на микротике, почему не сделать какую-то альтернативу?

Чтобы я не делал, таким методом нивелируются все эти защитные настройки

Кто-нибудь подскажет, может сталкивался…. Необходимо ходить из локальной сети на один из внешних белых ip. Это реализуемо? Если да, то может приблизительный алгоритм. Сам я все прописывал в filter rules и в nat. В две стороны от white ip до локалки и обратно. Что-то не работат

Кто-нибудь подскажет, может сталкивался…. Необходимо ходить из локальной сети на один из внешних белых ip. Это реализуемо? Если да, то может приблизительный алгоритм. Сам я все прописывал в filter rules и в nat. В две стороны от white ip до локалки и обратно. Что-то не работат

в фаерволе разрешаете ходить на этот адрес и все. Выдавайте диагностику. на "чтото не работает" ответов не будет

Кто-нибудь подскажет, может сталкивался…. Необходимо ходить из локальной сети на один из внешних белых ip. Это реализуемо? Если да, то может приблизительный алгоритм. Сам я все прописывал в filter rules и в nat. В две стороны от white ip до локалки и обратно. Что-то не работат

там похоже на выходе в инет несколько айпишников и он хочет хосты через разные айпишники в инет выводить

там похоже на выходе в инет несколько айпишников и он хочет хосты через разные айпишники в инет выводить

Есть 2 сети 10.10.0.0/24 с белым 90.90.20.10 и 20.20.0.0/24 с белым 90.90.20.20. Нужно из сети 10.10.0.0/24 ходить на 90.90.20.20. Условно так.

Есть 2 сети 10.10.0.0/24 с белым 90.90.20.10 и 20.20.0.0/24 с белым 90.90.20.20. Нужно из сети 10.10.0.0/24 ходить на 90.90.20.20. Условно так.

так понимаю интерфейс провайдера один и шлюз для выхода в инет тоже один. 10.90.20.1 условно говоря. и несколько айпишников белых. в нате обычно используется правило маскарад, оно будет использовать наименьший адрес в таком случае. Надо сделать src-nat с action src-nat и указать нужный адрес Это правило поставить выше маскарада. вот и все.

Да, в nat ничего. Только маскарад для инета. А в filter rules forward от 10.10.0.0 до 20.20.0.0 accept и обратно аналогично. Вот и все.

не понятно. нужно детальное описание видимо

эти правила разрешают сетям обращаться друг к другу. На выход в инет никак не влияет Какая задача стоит?

на схемке нарисуйте, чтобы прояснить.

это точно одна локация?

так понимаю интерфейс провайдера один и шлюз для выхода в инет тоже один. 10.90.20.1 условно говоря. и несколько айпишников белых. в нате обычно используется правило маскарад, оно будет использовать наименьший адрес в таком случае. Надо сделать src-nat с action src-nat и указать нужный адрес Это правило поставить выше маскарада. вот и все.

на одном микротике? как организован выход в инет 10 сети через 20.20?

тогда вот это надо сделать и еще отключить правила дропа на инвалид (forward) скорее всего будет мешать задача делится на 2 части. 1. добиться чтобы сервис стал доступен под нужным адресом внешним 2. добиться чтобы в локалке по внешнему адресу стал доступен

так понимаю интерфейс провайдера один и шлюз для выхода в инет тоже один. 10.90.20.1 условно говоря. и несколько айпишников белых. в нате обычно используется правило маскарад, оно будет использовать наименьший адрес в таком случае. Надо сделать src-nat с action src-nat и указать нужный адрес Это правило поставить выше маскарада. вот и все.

Я так понимаю для 10-й сети маскарад сделать с ip 90.90.20.10, а для 20-й маскарад с ip 90.90.20.20

да, только экшн не маскарад, а src-nat

Странно, вот я включил у себя такие правила и все работает как задумано. Если выключить разрешающее правило (хоть одно) или чуть изменить мак-адрес, то срабатывает блокировка. Девайсы подключены к микротику напрямую. Да, и в форварде понадобится дублировать разрешающие правила в оба направления чтобы трафик ходил. /int br filter ex add action=accept chain=forward in-interface-list=br-fi-lan out-interface-list=br-fi-lan src-mac-address=B8:69:F4:F3:8F:25/FF:FF:FF:FF:FF:FF add action=accept chain=forward dst-mac-address=B8:69:F4:F3:8F:25/FF:FF:FF:FF:FF:FF in-interface-list=br-fi-lan out-interface-list=br-fi-lan add action=drop chain=forward in-interface-list=br-fi-lan out-interface-list=br-fi-lan

Счастье длилось недолго.... Подключаю другой ноут - он ни к чему не конектится как и должно быть. Потому что не получает айпишку. Но если я вручную в этот ноут пропишу айпишку, то он получает доступ к устройству в сети, хотя в АРП таблице этот айпи не отображается

Видимо какие-то уже внесенные другие изменения мешают работать bridge firewall-у. Или таки у вас есть ещё и свитч. В моем последнем примере как раз блокируется транзитный трафик между устройствами.

"Теперь если даже вписать на компе ручками ip, в инет злодей не попадет, но внутренние ресурсы все равно будут доступны, ибо пакеты для той же подсети не ходят через роутер. Тут нужно на уровне свича делать привязку mac-ip через dhcp option 82." вот такое читал

Это при наличии приличного управляемого свитча. Статья несколько для другого кейса. У вас на микротике создан один бридж?

привет ребяты, с этого божественного устройства css610 можно как-то забирать бекапы, кроме веб интерфейса?

да, один

привет ребяты, с этого божественного устройства css610 можно как-то забирать бекапы, кроме веб интерфейса?

Но не работает: Подключаю другой ноут - он ни к чему не конектится как и должно быть. Потому что не получает айпишку. Но если я вручную в этот ноут пропишу айпишку, то он получает доступ к устройству в сети, хотя в АРП таблице этот айпи не отображается

Hap lite, версии по памяти не скажу

да, только экшн не маскарад, а src-nat

Routerboot тоже обновите (скрины не надо кидать). VLAN-ы не настроены на бридже? В настройках swtich не ковырялись?

Формально - нет Можете посмотреть что-то такое (или поискать аналоги, мне что-то попадалось): https://github.com/ollie-galbraith/mikrotik_switch_api