+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Фильтры Bridge, похоже, не работают.

Фильтры Bridge, похоже, не работают., RouterOS

dlynes

Guest

02.09.2021 12:19:00

Похоже, неважно, что я прописываю в фильтрах моста для 7.0b4 или 7.1rc2. Включен или выключен аппаратный оффлоадинг. Быстрая перемотка включена или выключена. Разрешён или запрещён быстрый путь. Блокировка по MAC-адресу назначения или по IP-адресу назначения. Входящий трафик или форвард. Добавляю правило свитча с одного порта на другой (оба в мосту) с копированием на CPU. Ничто, кажется, не помогает заблокировать трафик, направленный на конкретный публичный IP на устройстве, которое подключено к мосту. Устройство подключено напрямую к мосту, без промежуточного свитча. Интернет-подключение тоже идёт напрямую в мост. Я перепробовал все примеры, которые нашёл на форумах по RouterOS 6, но безрезультатно. То, что работало в RouterOS 6, похоже, не работает в RouterOS 7. Буду благодарен за любую помощь.

kormenator

Guest

29.10.2021 04:15:00

У меня точно такая же проблема с CCR2004-16G-2S+ и RouterOS 7.1rc5: что бы я ни настраивал в фильтрах моста, ничего не фильтруется. Я также пробовал включать и выключать HW Offloading, Fast Path и так далее. Фильтрация через IP-файрвол работает, поэтому пока использую её, но хотелось бы фильтровать по dst MAC, а с IP-файрволом это невозможно.

Knoblauch

Guest

16.11.2021 18:16:00

То же самое у меня на v7.1rc5 на CCR2004-16G-2S+. У меня настроены мостовые фильтры, которые разрешают IPv6 для некоторых MAC-адресов назначения на VLAN-выходном интерфейсе и блокируют всё остальное. Счётчик почему-то стоит на нуле… Переключаюсь обратно на v6.49 — и всё работает нормально. MT, пожалуйста, разберитесь… Спасибо!

dlynes Guest	#4 0 16.11.2021 20:38:00 Привет, Raymond. Это из-за того, что bridge filter не работает? То есть потому что это переключающий чип? Если да, то почему раздел bridge filter виден, если он не используется?

Mackila

Guest

21.11.2021 01:54:00

Привет, такая же проблема здесь. Правила фильтрации на мосту не работают на CCR2004-16G-2S+. Я использую их, чтобы менять VLAN CoS у DHCP-пакетов от DHCP-клиента на WAN стороне роутера (это требует провайдер).

/interface bridge
add fast-forward=no name=WAN-BRIDGE
[...]
/interface vlan
add interface=sfp1-WAN name="VLAN832 - WAN" vlan-id=832
[...]
/interface bridge filter
add action=set-priority chain=output dst-port=67 ip-protocol=udp log=yes \
log-prefix="Set CoS 6 on DHCP requests" mac-protocol=ip new-priority=6 \
out-bridge=WAN-BRIDGE passthrough=yes
[...]
/interface bridge port
add bridge=WAN-BRIDGE ingress-filtering=no interface="VLAN832 - WAN"
/interface bridge settings
set use-ip-firewall=yes use-ip-firewall-for-vlan=yes
[...]

Такая же конфигурация отлично работает на HexS (но у HexS нет 10G портов…). Сейчас я использую CRS305, подключённый к SFP1 CCR2004, чтобы менять приоритет (работает под SwitchOS, с правилом ACL). Я пробовал делать простые правила, чтобы видеть счетчики. Какие бы правила я ни добавлял, какие бы настройки (fast path да/нет, fast forward да/нет, IP firewall да/нет) я ни использовал, счетчики остаются нулевыми. Ни одно правило фильтрации на мосту не работает. CCR2004-16G-2S+ сейчас под ROS 7.1rc6. Mackila

dmfr Guest	#6 0 22.11.2021 12:02:00 Интересно. Я тоже сообщил о такой же проблеме для RB4011 здесь: http://forum.mikrotik.com/t/bridge-filter-rules-set-priority-for-vlan-non-functional/143818/1 Однако, по крайней мере для этого устройства (RB4011), с версии rc3 всё уже работает.

Knoblauch

Guest

22.12.2021 07:55:00

v7.2rc1 на CCR2004-16G-2S+ по-прежнему не фильтрует мост. У меня есть VLAN-интерфейс, добавленный в мост, и я пытаюсь заблокировать протокол IPv6 MAC на этом выходном интерфейсе с помощью фильтра моста. Счётчики не меняются, ничего не блокируется. Поскольку в v6.49 всё работает нормально, предполагаю, что это связано с внутренней обработкой фильтров моста в v7. Было бы здорово, если бы Mikrotik могли протестировать это и коротко ответить, если кто-то занялся этим... по крайней мере, финальная версия v7 должна уметь решать такую задачу. Спасибо, CK.

kormenator

Guest

02.02.2022 07:57:00

Изменения в версии 7.2rc2 утверждают, что эта проблема исправлена *) bridge — исправлены фильтры моста и правила NAT на устройствах ARM64 и TILE; потребуется несколько дней, чтобы я смог проверить это на своём оборудовании.

Knoblauch

Guest

12.02.2022 13:45:00

Сейчас всё работает на моём совершенно новом CCR2116-12G-4S+ с версией 7.2rc3. Но в этом железе встроен отличный коммутатор, так что мне это уже не нужно. Мой старый CCR2004-1G-12S+2XS не справлялся с ACL для коммутатора. На самом деле после моего последнего сообщения здесь я открыл тикет в MT и получил такой ответ: «Нам удалось воспроизвести эту проблему локально в наших лабораториях, и мы рассчитываем исправить её в следующих версиях RouterOS…» Значит, по этому поводу уже есть какие-то положительные подвижки…

dlynes Guest	#10 0 12.02.2022 14:53:00 Если бы только L2TP/IPsec заработал нормально и на RouterOS 7, и на Windows 10/11. Тогда бы мы все были счастливы.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры