http://mikrotik.moscow Новое в теме Изолируйте два моста на уровне 2. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 12:57:23 -0400 Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Огромное спасибо!
21.07.2024 10:55:00, Hug1682.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397419 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397419 Sun, 21 Jul 2024 10:55:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
В общем, вы правильно поняли. Есть тонкие нюансы — например, src-address, src-address-list, in-interface и in-interface-list — все они могут использоваться для определения источника трафика, но каждый из них лучше подходит для конкретной ситуации. Так что, строго говоря, последнее правило из вашей оригинальной конфигурации не обращает внимания на какой-либо адрес, а действительно смотрит на in-interface, независимо от того, какой именно исходный адрес. Но понимание того, зачем и как использовать точные термины помогает лучше разобраться в теме и приходит с опытом.
21.07.2024 10:42:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397418 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397418 Sun, 21 Jul 2024 10:42:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Понял! Последнее правило означает «отбрасывать всё, что не идёт из 10.0.0.0/16», что блокирует доступ 192.168.22.1/24 к основной сети. Значит, по умолчанию разные мосты на одном RouterOS могут связываться друг с другом, верно? Нужно вручную добавлять фильтры фаервола, чтобы изолировать эти мосты?
21.07.2024 10:07:00, Hug1682.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397417 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397417 Sun, 21 Jul 2024 10:07:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Отложив в сторону все остальное (к этому мы ещё вернёмся позже), и сосредоточившись только на проблеме с двумя мостами, я бы предложил добавить следующие правила в конец цепочки forward в /ip firewall filter:  
add chain=forward in-interface=local out-interface=ct action=accept  
add chain=forward in-interface=iotbridge out-interface=ct action=accept  
add chain=forward action=drop  

Чтобы эти дополнительные правила действительно работали, следующий шаг — отключить (а после того, как убедитесь, что настройка работает именно так, как вам нужно, удалить) текущее последнее правило «drop everything else» в цепочке forward.
21.07.2024 09:18:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397416 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397416 Sun, 21 Jul 2024 09:18:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Вот моя подробная конфигурация:

2024-07-21 15:48:57, программное обеспечение RouterOS 7.15.2  
id =

/interface bridge  
add name=iotbridge  // только для IoT-устройств, 192.168.22.1/24  
add name=local  // обычные устройства, 10.0.0.1/16  

Подключение к интернету, предоставленное провайдером:  
/interface pppoe-client  
add add-default-route=yes disabled=no interface=ether9 name=ct user=[redacted]

VLAN-инкапсуляция для определённого интерфейса — позволяет запускать несколько логических линий через одно физическое соединение:  
/interface vlan  
add interface=ether8 name=iot vlan-id=40  
add interface=ether8 name=iptv vlan-id=10  
add interface=ether8 name=sip vlan-id=20  

Создаю два мостовых интерфейса: один для обычных устройств, другой — для IoT:  
/interface bridge  
add bridge=iotbridge comment="iot downlink" interface=iot  // к этому мосту будут подключены IoT-устройства  
add bridge=iotbridge comment="iot uplink" interface=ether10  // виртуальная машина HomeAssistant  

/interface bridge port  
add bridge=local comment=inteth interface=ether1  
add bridge=local comment=25g interface=ether4  
add bridge=local comment=1g interface=ether6  

/ip address  
add address=10.0.0.1/16 interface=local network=10.0.0.0  
add address=192.168.22.1/24 interface=iotbridge network=192.168.22.0  

/ip pool  
add name=dhcp_pool0 ranges=10.0.0.2-10.0.255.254  
add name=dhcp_pool1 ranges=192.168.22.2-192.168.22.254  

/ip dhcp-server  
add address-pool=dhcp_pool0 comment=internet interface=local lease-time=10m name=dhcp1  
add address-pool=dhcp_pool1 comment=iotnetwork interface=iotbridge name=dhcp2  

/ip dhcp-server network  
add address=10.0.0.0/16 dhcp-option=domain-searchlist dns-server=10.0.0.3 gateway=10.0.0.1  
add address=192.168.22.0/24 gateway=192.168.22.1  

/interface list  
add comment=lan name=lan  

/interface list member  
add comment="local switch" interface=local list=lan  

/ip firewall filter  
add action=accept chain=input comment="accept established,related" connection-state=established,related  
add action=accept chain=input comment="accept ICMP" in-interface=ct protocol=icmp  
add action=drop chain=input comment="drop invalid" connection-state=invalid  
add action=drop chain=input comment="block everything else" in-interface-list=!lan  
add action=accept chain=forward comment="accept established,related" connection-state=established,related  
add action=drop chain=forward comment="drop invalid forward" connection-state=invalid  
add action=drop chain=forward comment="drop access to clients behind NAT from WAN" connection-nat-state=!dstnat connection-state=new in-interface-list=!lan  
add action=drop chain=forward comment="drop everything else" in-interface-list=!lan  

/ip firewall nat  
add action=masquerade chain=srcnat comment="internet nat" out-interface=ct  

/routing igmp-proxy  
interface  
add interface=iptv upstream=yes  
add interface=ether2  

Буду благодарен за любые комментарии!
21.07.2024 08:03:00, Hug1682.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397415 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397415 Sun, 21 Jul 2024 08:03:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Проблема с пунктом 1 в том, что вы неправильно понимаете, что делает masquerade. Его цель — скрыть приватные адреса, которые не уникальны в интернете, ведь десятки тысяч устройств по всему миру имеют одинаковый адрес 192.168.11.10, и при этом гарантировать, что серверы на публичных адресах будут знать, куда отправлять ответы на запросы с клиентов с приватными адресами. Когда пакет с запросом клиента проходит через WAN-интерфейс, его исходный адрес меняется на адрес WAN-интерфейса, а адреса и порты вместе с новым адресом сохраняются в таблице модуля отслеживания соединений, чтобы при получении ответа от сервера его можно было связать с таким известным соединением и изменить адрес назначения обратно на приватный адрес клиента, который отправил исходный запрос. Так как запросы с 11.x на 22.x не маршрутизируются через WAN, правило masquerade их игнорирует.

Проблема с пунктом 2 в том, что пример «Первой настройки» предполагает, что вы начинаете без каких-либо правил фаервола в роутере, а большинство SOHO-роутеров поставляются с заводской конфигурацией, что, судя по всему, ваш случай. Иначе вы бы тоже могли выходить в интернет с 192.168.22.0/24 — правило masquerade из «Первой настройки» и правило из заводской конфигурации не учитывают src-address или in-interface. Значит, есть какое-то другое правило, которое вообще не дает клиентам из 192.168.22.0/24 выходить куда-либо.

Ссылки на советы по настройке или страницы руководств ничего не говорят о реальной конфигурации вашего устройства. Если вы опубликуете экспорт конфигурации, проблему можно будет определить и прояснить за считанные минуты, а так — остаётся только гадать.
21.07.2024 07:03:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397414 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397414 Sun, 21 Jul 2024 07:03:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Правила фильтрации моего фаервола настроены так, как указано в примере первой настройки Mikrotik. Правило NAT всего одно: выполнять srcnat masquerade на исходящем интерфейсе с именем isp-internet. Я предполагаю, что при такой конфигурации сеть должна работать следующим образом: сети 192.168.11.1/24 и 192.168.22.1/24 — это как два отдельных, не связанных между собой коммутатора, которые не могут напрямую обращаться друг к другу. Если нужен доступ между сетями, нужно настроить masquerade. Обе сети, 192.168.11.1/24 и 192.168.22.1/24, должны иметь доступ в интернет через правило masquerade на isp-internet. Но сейчас ситуация очень странная: сеть 192.168.11.1/24 — основная внутренняя сеть — может выходить в интернет и обращаться к сети 192.168.22.1/24 без настройки masquerade. При этом устройства в сети 192.168.22.1/24 не могут выйти в интернет и не получают доступа к устройствам в сети 192.168.11.1/24, а могут обращаться только к тем, что находятся в той же Bridge. Хочу понять, в чём проблема.
21.07.2024 06:38:00, Hug1682.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397413 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397413 Sun, 21 Jul 2024 06:38:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
То, что устройства в двух разных подсетях, подключённых к одному и тому же роутеру, могут общаться между собой, — это не «проблема», а базовая функция роутера. Я предполагаю, что ваши DHCP-серверы назначают 192.168.11.1 и 192.168.22.1 в качестве шлюзов по умолчанию для своих подсетей, поэтому устройство из подсети 192.168.11.0/24 отправляет пакеты с любым адресом назначения, кроме 192.168.11.0/24, включая 192.168.22.0/24, на роутер. Роутер находит маршрут, который для подсети 192.168.22.0/24 ведёт к другому мосту, и пересылает пакет. Если вы хотите это запретить, используйте правила в таблице ip firewall filter. Поскольку правила в файрволе — это своего рода программа, где эффект каждого отдельного правила зависит, как минимум, от предыдущих правил в той же цепочке, невозможно предложить что-то более конкретное, не увидев экспорт вашей текущей конфигурации. Перед тем как публиковать экспорт, уберите чувствительную информацию (пароли, публичные адреса, имена пользователей для внешних сервисов, серийные номера и т.п.).
21.07.2024 06:08:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397412 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397412 Sun, 21 Jul 2024 06:08:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Я столкнулся с странной проблемой. У меня есть два Bridge-устройства, настроенных с адресами 192.168.11.1/24 и 192.168.22.1/24, у каждого запущен DHCP-сервер. При этом без каких-либо настроенных правил NAT устройства в сети 192.168.11.1/24 могут напрямую обращаться к устройствам в сети 192.168.22.1/24. В чём может быть дело?
21.07.2024 05:10:00, Hug1682.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397411 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397411 Sun, 21 Jul 2024 05:10:00 -0400 RouterOS Изолируйте два моста на уровне 2. RouterOS в форуме RouterOS.
Привет! У меня на CCR2004 два моста. Bridge_A включает sfp1 до sfp5, а Bridge_B — sfp6 до sfp10. Интернет настроен на ether1. Нужно изолировать эти два моста, чтобы они не общались друг с другом на уровне Layer2, но при этом оба моста должны иметь доступ в интернет. Как лучше всего это сделать, не отключая аппаратное ускорение? Спасибо.
04.01.2021 18:46:00, elel.]]> http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397410 http://mikrotik.moscow/forum/forum57/85534-izoliruyte-dva-mosta-na-urovne-2./message397410 Mon, 04 Jan 2021 18:46:00 -0500 RouterOS