Гостевая сеть: VLAN против моста

MikroTik рекомендует либо использовать Quick Set для всего и не трогать другие настройки, либо вообще не пользоваться Quick Set. По поводу использования фильтров моста для сегментации гостевой WiFi — да, это можно применить в вашем случае. Они работают за счет блокировки всех пересылаемых Ethernet-кадров с указанных беспроводных интерфейсов и на них. Поскольку WAN-интерфейс (eth1) не входит в мост, трафик WAN между eth1 и беспроводными интерфейсами не подпадает под эти фильтры. Многие обычные роутеры используют такой же подход с ebtables (файрвол на уровне L2) для гостевой WiFi-функциональности. Знаю, что некоторые роутеры Asus так делают. К тому же, для использования этих фильтров вовсе не обязательно применять Quick Set. Теперь, когда вы знаете, что они собой представляют, можно просто вручную добавить их в свою кастомную конфигурацию. При этом желательно ограничить доступ к самому роутеру через IP-файрвол, если только вы не хотите, чтобы он был доступен из гостевой сети. Самый безопасный вариант — разрешать от гостевой сети к роутеру только DHCP (UDP 67) и DNS (UDP и TCP 53) (цепочка input). Это правило файрвола остается актуальным и при использовании VLAN. По умолчанию правила файрвола не блокируют доступ к роутеру с локальной стороны. Одно важно учесть: фильтры моста довольно сильно нагружают процессор. Я использовал такие же фильтры для гостевой WiFi на hAP ac2 и заметил, что это ограничивает максимальную пропускную способность WiFi. Подробнее здесь: http://forum.mikrotik.com/t/vlans-with-wifi-qcom-ac/182887/17 Возможно, вас это не коснется, так как у hAP ax3 процессор чуть посильнее (но не значительно), как видно из официальных тестов. На практике это ограничение может не иметь значения, если ваша WiFi-сеть не должна работать быстрее 400 Мбит/с.

Вероятно, это более детальная настройка, чем могут обеспечить стандартные правила фильтрации фаервола, хотя, поскольку я не использую мостовые фильтры, ничего конкретного в голову не приходит.