+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Правила брандмауэра в Mikrotik для проверки MAC-адреса и IP-адреса.

Правила брандмауэра в Mikrotik для проверки MAC-адреса и IP-адреса., RouterOS

AsDsL

Guest

10.10.2004 15:40:00

Некоторое время назад я видел это на форуме. Пытаюсь внедрить это у своих клиентов. Когда выполняю шаг 6, у всех их отваливается. Можно ли это исправить? Как? "Если используете WinBox, выберите IP->Firewall. По умолчанию должна быть выбрана вкладка Filter Rules. Справа, сверху, есть выпадающий список, позволяющий выбрать цепочку для изменения. Выберите цепочку 'forward'. Теперь создайте новое правило для этой цепочки. В поле Src. Address укажите IP-адрес клиента. Затем перейдите на вкладку 'Advanced' и в поле Src. MAC Address укажите MAC-адрес клиента. Затем перейдите на вкладку 'Action' и установите поле Action в accept. Создайте такое правило для каждого клиента. Как только все правила для ваших клиентов будут на месте, создайте одно последнее правило по умолчанию. Единственное, что нужно установить в правиле по умолчанию, — это установить действие в поле 'Action' в drop. Убедитесь, что правило по умолчанию находится в самом низу набора правил. Если какие-либо из ваших клиентских правил находятся ниже правила по умолчанию, весь трафик от этих клиентов будет отбрасываться до того, как будет рассмотрено их конкретное правило. С такой настройкой любой корректный пакет (то есть IP и MAC совпадают) будет принят цепочкой forward и передан через роутер, но любые другие пакеты будут автоматически отбрасываться." Заранее спасибо!

Roman

Guest

11.10.2004 12:03:00

Именно так работают фильтры файрвола! Цитата из руководства: При обработке цепочки правила берутся из этой цепочки в том порядке, в котором они там перечислены, сверху вниз. Если пакет соответствует критериям правила, то к нему выполняется указанное действие, и никакие больше правила в этой цепочке не обрабатываются. http://www.mikrotik.com/docs/ros/2.8/ip/firewall.content#6.35.4

andrewluck

Guest

12.10.2004 19:56:00

Да, но пользователь жалуется, что все пакеты отбрасываются после добавления последнего правила по умолчанию. К каким интерфейсам применяются эти правила клиента? Если ко всем, то пакеты-ответы будут отбрасываться, потому что IP-адреса и MAC-адреса не будут распознаваться на стороне интернета. Нужно применять правила только к LAN-стороне. С уважением, Andrew

AsDsL Guest	#4 0 12.10.2004 20:02:00 Привет andrewluck, Да, теперь применяется ко ‘всем’. Сейчас я буду применять только к LAN, сообщу тебе. Спасибо!

AsDsL

Guest

12.10.2004 20:38:00

Не работает! Я менял in-interface=LAN, потом out-interface=LAN и все возможные комбинации в LAN, WAN и Bridge. Посмотри мою конфигурацию файрвола:

Flags: X - disabled, I - invalid, D - dynamic

0 src-address=192.168.200.1/32 in-interface=LAN src-mac-address=00:05:E6:B9:00:15 action=accept
1 src-address=192.168.200.2/32 action=accept
2 action=drop log=yes
/
ip firewall rule forward add src-address=192.168.200.1/32 in-interface=LAN src-mac-address=00:05:E6:B9:00:15 action=accept comment=“” disabled=no
add src-address=192.168.200.2/32 action=accept comment=“” disabled=no
add action=drop log=yes comment=“” disabled=no
[admin@mikrotik] ip firewall rule forward>

Roman Guest	#6 0 13.10.2004 09:11:00 Все входящие пакеты отбрасываются. Нужно разрешить установленные и связанные соединения. Поставь эти два правила перед всеми остальными: connection-state=related action=accept connection-state=established action=accept

AsDsL Guest	#7 0 13.10.2004 21:44:00 Сделано, и не работает. 0 connection-state=related action=accept 1 connection-state=established action=accept 2 src-address=192.168.200.1/32 in-interface=LAN src-mac-address=00:05:E6:B9:00:15 action=accept 3 src-address=192.168.200.2/32 in-interface=LAN action=accept 4 action=drop log=yes

Roman Guest	#8 0 14.10.2004 08:32:00 [admin@82] ip firewall rule forward> print Flags: X - disabled, I - invalid, D - dynamic 0 connection-state=established action=accept 1 connection-state=related action=accept 2 src-address=x.x.x.83/32 in-interface=ether1 src-mac-address=x:x:x:x:72:3E action=accept 3 action=drop 82 — это мост между 83 и остальными. Когда я отключаю второе правило, трафик не проходит. Значит, в вашем случае должно быть то же самое – проверьте MAC-адреса (пинг 192.168.200.1 и посмотрите в /ip arp print какой MAC он имеет). Кстати, какая у вас конфигурация и какую версию используете?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры