Помогите с настройкой VLAN на RB4011iGS+RM для домашнего использования.

Извиняюсь за задержку…  
ip firewall filter  
// Начинаем видеть правила файрвола  
add action=accept chain=input comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked  
// Правило пропускает через файрвол входящий трафик от установленных соединений (известных MAC-адресов)  
add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid  
// Правило блокирует трафик от неверных соединений (честно говоря, не очень понимаю, что значит “неверные”)  
add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp  
// Правило разрешает трафик по протоколу ICMP (я понимаю это как общение между сетевыми устройствами, чтобы они могли “разговаривать”)  
add action=accept chain=input comment=“defconf: accept to local loopback (for CAPsMAN)” dst-address=127.0.0.1 {disable if not required}  
// Правило разрешает loopback-трафик. Не уверен, что оно нужно. Знаю, что это разрешает localhost на хост-устройствах, но не понимаю, зачем это роутеру  
add action=accept chain=input in-interface-list=LAN  
add action=drop chain=input  
// Правило разрешает локальный трафик (если он с локальной сети, значит его можно считать безопасным)

Первое, что нужно отметить: я добавил обновлённые инструкции по использованию одного порта [ether5?] (для аварийного доступа к роутеру), который ВЫВЕДЕН из моста, и если во время настройки вы случайно «сломаете» мост, то сможете спокойно подключиться к роутеру через этот специальный аварийный порт или просто настроить всё через него, как вам удобно. Раньше я дал вам не совсем правильные инструкции. https://forum.mikrotik.com/viewtopic.php?t=181718

++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++­+++++++++++++++++++++

Помните, что цепочка input — это входящий трафик напрямую к роутеру. Например, ICMP позволяет самому роутеру отвечать на пинги по протоколу ICMP, что оказывается очень полезным инструментом для админа в разных ситуациях.

Правило capsman нужно, если вы планируете использовать функционал capsman для управления всеми вашими точками доступа MT. Это дополнительный уровень сложности, который лучше пропустить новичкам, пока не научатся управлять Wi-Fi без него (к тому же capsman реально нужен только если у вас больше 3 точек доступа). Удалите или отключите его.

Важно правильно настроить доступ LAN-пользователей к роутеру для сервисов роутера. Обычно это ТОЛЬКО DNS-сервис, но иногда и NTP, UPnP и т. п.

С учётом этого переходим к изменению правил файрвола на роутере. Мы изменим правило, которое разрешает доступ из LAN, на следующее:

a. Полный доступ к роутеру разрешаем только интерфейсу, который админ использует чаще всего (для настройки).

b. Всем остальным разрешаем только доступ к DNS-сервисам:

add action=accept chain=input in-interface=vlan20 (или как там называется ваш персональный)

add action=accept chain=input comment=“Allow LAN DNS queries-UDP” connection-state=new dst-port=53 in-interface-list=LAN protocol=udp

add action=accept chain=input comment=“Allow LAN DNS queries - TCP” connection-state=new dst-port=53 in-interface-list=LAN protocol=tcp

Если ваш персональный VLAN — не тот, что вы используете постоянно, а, например, семейный, то используйте семейный VLAN, но с параметром src-address-list=authorized, чтобы ограничить доступ только для ваших устройств (настольный ПК, ноутбук, смартфон, iPad и т. п.).

+++++++++++++++++++++++++++++++

Цепочка forward — да, fastrack позволяет роутеру делать «короткие пути» при передаче трафика, что ускоряет работу. Если вы используете функции MANGLING, fastrack обычно отключают, бывают и другие случаи, когда это нужно.

Да, некорректный (invalid) трафик, считающийся неправильным по формату, отбрасывается.

Да, порт-форвардинг на сервер — обычно это нужная вещь, если у вас есть внешний доступ к устройству, например к FTP-серверу или NAS.

Теперь о следующем важном моменте. У вас хорошо настроен трафик в цепочке forward, но из-за правила «drop all» вы блокируете весь трафик между VLANами. А теперь вы хотите, чтобы все могли обращаться к общим ресурсам.

Для этого добавьте правило:

add action=accept chain=forward in-interface-list=LAN out-interface=vlan10 (или как там называется VLAN с общими ресурсами).

Если у вас нет отдельной подсети для общих ресурсов, а они находятся в вашем персональном VLAN, то:

add action=accept chain=forward in-interface-list=LAN out-interface=vlan20 dst-address list=shared-devices

где shared-devices — это список адресов в файрволе, например:

add ip=IP_принтера list=shared-devices

add ip=IP_сканера list=shared-devices

и так далее.

Таким образом, правило разрешит весь трафик, приходящий из всех LAN, направленный в персональный VLAN, но только к конкретным IP-адресам из списка.

Надеюсь, идея ясна!