Как установить IP-адрес для коммутатора при использовании VLAN?

Ничего страшного в использовании MT-правил, я предпочитаю немного проще. Это из той ссылки, но изменено… ВХОДЯЩАЯ ЦЕПЬ /ip firewall filter add action=accept chain=input connection-state=established,related add action=drop chain=input connection-state=invalid add action=accept chain=input comment=protocol=icmp add action=accept chain=input comment=“Разрешить ADMIN доступ к роутеру” src-address-list=adminaccess &&&& **добавить опционально***** add action=drop chain=input comment=“Отклонить все остальное” &&&&& /ip firewall address-list (чтобы разрешить доступ администратору к настройкам роутера с фиксированных статических IP, например, на любой подсети). add address=admin-desktop_IP list=adminaccess add address=admin-laptop_IP list=adminaccess add address=admin-ipad_IP list=adminaccess ***** опционально**: Предоставить доступ пользователям LAN ТОЛЬКО для тех услуг, которые роутер предоставляет (например): add action=accept chain=input comment=“Разрешить DNS-запросы LAN - TCP” connection-state=new dst-port=53 in-interface-list=LAN protocol=tcp add action=accept chain=input comment=“Разрешить DNS-запросы LAN - UDP” connection-state=new dst-port=53 in-interface-list=LAN protocol=udp add action=accept chain=input comment=“Разрешить NTP службу” connection-state=new dst-port=123 in-interface-list=LAN protocol=udp src-address-list=NTPserver Обсуждение: Последнее правило гарантирует, что никакой другой трафик не разрешен, если он не был явно разрешен выше, что включает, например, любой трафик WAN к роутеру. Убедитесь, что правила доступа для администратора установлены перед добавлением последнего правила, иначе вы можете заблокировать себя от роутера. ПЕРЕОДНАЯ ЦЕПЬ Дополнительно 1 +++ add action=fasttrack-connection chain=forward connection-state=established,related add action=accept chain=forward connection-state=established,related add action=drop chain=forward connection-state=invalid Дополнительно 2 ### Дополнительно 3 === add action=drop chain=forward comment=“отклонить все остальное” +++ Если вы используете IPSEC, вам потребуется… add action=accept chain=forward comment=“defconf: разрешить в политику ipsec” ipsec-policy=in,ipsec add action=accept chain=forward comment=“defconf: разрешить из политики ipsec” ipsec-policy=out,ipsec ### Здесь разместите трафик, который вы хотите разрешить, примеры: (a) разрешить трафик лан к wan (по подсети, по vlan, по интерфейсу и т. д.) add action=accept chain=forward comment=“РАЗРЕШИТЬ HomeLAN к WAN” in-interface=Home-LAN_V12 out-interface-list=WAN src-address=192.168.0.0/24 (b) разрешить подсети A доступ к общим принтерам на подсети B add action=accept chain=forward comment="разрешить VlanA Users_TO_Printers dst-address-list=House_Printers in-interface=VLANA src-address=192.168.0.0/24 === Если вам нужно пробросить порт по какой-либо причине, вы можете добавить это правило. add action=accept chain=forward comment=“Разрешить проброс порта” connection-nat-state=dstnat connection-state=new in-interface-list=WAN Обсуждение: Последнее правило автоматически блокирует весь трафик, не разрешенный выше, включая трафик WAN к LAN, и блокирует любой трафик подсеть к подсети или vlan к vlan на уровне 3. Для меня это всё, больше никаких правил не нужно в стандартной конфигурации безопасности. Большинство других вещей — это избыточное программное обеспечение.