http://mikrotik.moscow Новое в теме Разница между двумя списками интерфейсов форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 08:16:56 -0400 Разница между двумя списками интерфейсов RouterOS в форуме RouterOS.
Это зависит от того, как ведёт себя модем провайдера. В моём случае, даже когда модем находится в режиме моста, у него всё равно назначен LAN-адрес и включён DHCP-сервер. Так что если я запускаю DHCP-клиента на WAN-интерфейсе, модем выдаёт аренду с адресом из подсети /24 (и, как я понимаю, маршрут по умолчанию /0 через собственный LAN-адрес). Добавление статического IP из той же подсети с маской /32 скорее всего приведёт к тому, что роутер будет использовать статический адрес при общении с модемом провайдера и динамический — при общении с любым другим устройством в той же подсети. Я не вижу смысла в таком раскладе по сравнению с настройкой статического IP (из диапазона LAN-адресов роутера) с маской /24. По сравнению с DHCP-арендой это гарантирует, что «наш» роутер не получит маршрут /0 через роутер провайдера (который в реальности будет недействительным, так как модем в режиме моста не имеет доступа в интернет). И я не вижу никакого преимущества в использовании маски /32 вместо нормальной /24 с точки зрения безопасности, которая обсуждается здесь. Считаю, что есть (возможно небольшие) плюсы у маски /32 по сравнению с /24, но моя мысль в том, что это никак не влияет на безопасность. С учётом сказанного и учитывая, что @Kentzo не привёл веских аргументов в пользу того, что его предложение более безопасно, я выхожу из обсуждения. Это совсем не по теме.
02.12.2024 06:38:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400128 http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400128 Mon, 02 Dec 2024 06:38:00 -0500 RouterOS Разница между двумя списками интерфейсов RouterOS в форуме RouterOS.
Речь не о безопасности, я полностью согласен, что это всё ещё WAN и в этом плане ничего не меняется. Речь о более широкой совместимости: DHCP-клиент на физическом интерфейсе, который подключается к модему, и статический маршрут на /32 через этот интерфейс подходят для обоих случаев (провайдера с DHCP и провайдера с PPP). Статический IP в LAN модема «чисто» работает только в случае провайдера с PPP, а при провайдере с DHCP создаёт нестандартную конфигурацию из-за двух IPv4-адресов на одном интерфейсе.
01.12.2024 20:19:00, Kentzo.]]> http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400127 http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400127 Sun, 01 Dec 2024 20:19:00 -0500 RouterOS Разница между двумя списками интерфейсов RouterOS в форуме RouterOS.
Тема совсем ушла в сторону. Для автора темы, большинство из нас не беспокоится о блокировке трафика между VLAN, потому что это просто продолжение стандартной безопасной настройки, которую MT предоставляет новичкам. Большинство сначала меняет логику с «блокировать несколько известных плохих вещей и разрешать всё остальное» на «разрешать известный трафик и блокировать всё остальное»!

Поэтому в цепочке forward у нас получается (изменяя дефолтные правила):

add action=fasttrack-connection chain=forward connection-state=established,related  
add action=accept chain=forward connection-state=established,related,untracked  
add action=drop chain=forward connection-state=invalid  
add action=accept chain=forward comment=“internet traffic” in-interface-list=LAN out-interface-list=WAN  
***** добавить правила здесь *****  
add action=accept chain=forward comment=“port forwarding” connection-nat-state=dstnat  
add action=drop chain=forward comment=“Drop all else”  

Нет никакой необходимости настраивать блокировку VLAN, так как всё, что явно не разрешено — отбрасывается! Если же нужно добавить доступ от администратора к VLAN или с VLAN ко всем сетевым принтерам, просто добавьте эти правила выше…

2. Когда VLAN включен, бридж, как уже было сказано, ничего не делает — никаких DHCP и т.п., и его не стоит использовать для правил файрвола. У вас есть возможность использовать src или dst адреса:

→ один пользователь  
src или dst адрес → целая подсеть через интерфейс (порт/VLAN)  
→ целая подсеть  

Interface lists — это то, что удобно использовать, когда нужно описать 2 и более подсетей с общей целью (исключение — подсеть, которая должна быть в одной записи списка интерфейсов, потому что она TRUSTED).  

Address lists требуются всякий раз, когда у вас есть отдельные пользователи (с подсетями или без них, в одном списке).  

+++++++++++++++  
Группы там, где это логично и удобно.
01.12.2024 14:12:00, anav.]]> http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400126 http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400126 Sun, 01 Dec 2024 14:12:00 -0500 RouterOS Разница между двумя списками интерфейсов RouterOS в форуме RouterOS.
Добавление маршрута /32 не работает с пирами, которые используют «обычную» адресацию /24… И, опять же, это не повышает безопасность. Нужно считать, что модем враждебен, и добавление интерфейса с подключённым модемом в список интерфейсов WAN отлично решает проблему… если придерживаться концепции стандартной настройки (включая файрвол). Если вы считаете, что использование маршрута /32 добавляет безопасности, то, пожалуйста, объясните как именно… и приведите пример, который иллюстрирует ваши утверждения. Я не говорю, что ваш способ невозможен, я просто не вижу, как это работает.
01.12.2024 09:33:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400125 http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400125 Sun, 01 Dec 2024 09:33:00 -0500 RouterOS Разница между двумя списками интерфейсов RouterOS в форуме RouterOS.
Это именно тот аргумент, ведь очень часто на физическом интерфейсе, который подключается к провайдеру, запускают DHCP-клиент. Несколько IPv4-адресов на одном интерфейсе — это не стандарт. Так зачем заморачиваться с двойным IPv4, когда можно просто сделать маршрут, который работает в любом из вариантов?
30.11.2024 21:07:00, Kentzo.]]> http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400124 http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400124 Sat, 30 Nov 2024 21:07:00 -0500 RouterOS Разница между двумя списками интерфейсов RouterOS в форуме RouterOS.
Привет, в чём разница между двумя следующими списками интерфейсов (хочу использовать их в правилах файрвола): Список интерфейсов, в котором единственным добавленным элементом является главный бридж. Список интерфейсов, включающий все отдельные VLAN-интерфейсы. Возможно, на следующем изображении будет понятнее:
16.11.2024 10:13:00, alex3025.]]> http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400123 http://mikrotik.moscow/forum/forum57/85807-raznitsa-mezhdu-dvumya-spiskami-interfeysov/message400123 Sat, 16 Nov 2024 10:13:00 -0500 RouterOS