Блокировать доступ клиента к интернету, но разрешить локальный доступ.

Извини. Всё сработало. Моя ошибка. (Слава богу, что я спросил. Я недавно сбросил настройки роутера и не сохранил резервную копию, поэтому искал подсказки о своих старых настройках.)

О чем речь? Простое правило брандмауэра легко решило эту проблему.

Глупые вещи, о которых стоит подумать: Вы сделали ли PS3 статическим в DHCP-сервере? Если нет, тогда PS3 может время от времени получать другой IP-адрес. (зайдите в DHCP-сервер > вкладка аренды, дважды щелкните на записи для PS3, и там будет кнопка «сделать статическим») Предполагая, что IP-адрес правильный, то наиболее вероятная проблема заключается в том, что есть другое правило в вашей цепочке фильтрации, которое пропускает трафик. Порядок правил важен. Mikrotik начинает сверху списка и проходит по правилам до первой подходящей строки, после чего пакет будет следовать действию этого правила, и больше никаких правил проверяться не будет. Если у вас есть правило, которое говорит о том, чтобы принимать out-interface=ether1-gateway, и оно стоит перед вашим правилом «заблокировать PS3», то переместите правило блокировки сразу перед правилом разрешения. Не переживайте из-за правила fasttrack или правила, которое говорит о том, чтобы разрешить «connection-state=established,related», потому что каждый раз, когда PS3 пытается выйти в интернет, каждое соединение, которое она пытается установить, будет иметь состояние=new на первом пакете, и эти правила не сработают.

Ну, если вам нужно полное решение... а. поместите IP в отдельный VLAN или мост, или отдельную подсеть Ethernet (это отключает любую связь на уровне 2) б. разрешите VLAN/мост/подсеть Ethernet в обе стороны с домашней подсетью (используйте фаервол для разрешения соединений на уровне 3, но только внутренне) в. ГОТОВО. г. предполагает, что все остальное на конце цепи пересылки будет сброшено. Правила фильтрации фаервола для пересылки: стандартный fasttrack, стандартный accept для установленного и связанного, стандартный drop для недействительных, стандартный ipsec +++++++++ Все потоки, КОТОРЫЕ ВЫ ХОТИТЕ РАЗРЕШИТЬ ++++++++++ сбросить все остальное ++++++++++++ примеры потоков, которые вы хотите разрешить++++++++++ домашняя локальная сеть в WAN домашняя локальная сеть в специальную подсеть для проблемных устройств/людей специальная подсеть в домашнюю локальную сеть разрешить перенаправление портов при необходимости (WAN в домашнюю локальную сеть) +++++++++++++++++++++++++++++++++++++++++++++++++ Другой метод сохраняет связь на уровне 2 между всеми IP локальной сети (сохраняет существующую структуру локальной сети, изменения не требуются) Создайте список адресов фаервола - ‘bannedWAN’ (список исходящих адресов) для IP или нескольких IP, которые вы хотите заблокировать с интернета. Ключевой момент в том, что вы полагаетесь на то, что этот IP не изменится, поэтому он должен быть статически назначен. В случае выше правило LAN в WAN можно изменить или вы можете создать два правила. Один вариант правила: добавить action=accept chain=forward in-interface-list=LAN source-address-list=!bannedWAN out-interface-list=WAN Два варианта правила (ПОРЯДОК ВАЖЕН): добавить action=drop chain=forward in-interface-list=LAN source-address-list=bannedWAN out-interface-list=WAN добавить action=accept chain=forward in-interface-list=LAN out-interface-list=WAN

По MAC-адресу?