+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Лан и Вэн в разных интерфейсах.

Лан и Вэн в разных интерфейсах., RouterOS

Kiken

Guest

08.08.2012 17:17:00

Привет всем, хотел бы сделать вот что: На Ether1 у меня офисная ЛАН (сервера и другие компьютеры, подключенные к проводной сети, а также общие принтеры), эта сеть 100.0.0.0/8 (Не спрашивайте, почему у меня тут публичные IP-адреса, так было с тех пор, как я начал здесь работать…). На Ether2 у меня свич с 5 точками доступа, к которым подключаются ноутбуки и мобильные телефоны пользователей (сеть 192.168.88.0/24). На Ether5 у меня модем с активированным DHCP-клиентом, и в данный момент пользователи с Ether2 выходят в интернет через него. В чем дело: я хочу, чтобы некоторые пользователи с Ether2 получили доступ к офисной ЛАН, чтобы они могли печатать и получать доступ к некоторым серверам, и в данный момент я не знаю, как это сделать. Я пробовал просто добавить два шлюза в Route List, но шлюз офисной ЛАН деактивируется (становится синим и показывает только параметр D) сразу же после настройки… Есть какие-нибудь предложения, как это сделать?

nickshore

Guest

10.08.2012 15:48:00

Пока у RB есть адрес на ether1 в сети 100.0.0.0/8 и адрес на ether2 в сети 192.168.88.0/24, оно будет маршрутизировать между этими двумя подсетями. Предполагается, что у вас нет правила фильтра в цепочке пересылки файрвола, блокирующего это, и что нет правил NAT, мешающих IP-адресам при взаимодействии между двумя подсетями. Ник.

Kiken

Guest

22.08.2012 16:24:00

Ну вот, я разобрался с этим, используя следующую конфигурацию:

Правила NAT:
chain=srcnat action=masquerade out-interface=ether1-Wan1
chain=srcnat action=masquerade out-interface=ether5-Wan2

Списки адресов:
AP Full 192.168.88.2-192.168.88.100
AP Restricted 192.168.88.101-192.168.88.200
Guests 192.168.88.201-192.168.88.210

Правила Mangle:
chain=prerouting action=mark-routing new-routing-mark=LAN passthrough=no src-address-list=AP Full dst-address-list=d1
chain=prerouting action=mark-routing new-routing-mark=LAN passthrough=no src-address-list=AP Full dst-address-list=d2
chain=prerouting action=mark-routing new-routing-mark=FULL passthrough=no src-address-list=Guests dst-address-list=!d1
chain=prerouting action=mark-routing new-routing-mark=FULL passthrough=no src-address-list=Guests dst-address-list=!d2
chain=prerouting action=mark-routing new-routing-mark=FULL passthrough=no src-address-list=AP Full dst-address-list=!d1
chain=prerouting action=mark-routing new-routing-mark=FULL passthrough=no src-address-list=AP Full dst-address-list=!d2

Маршруты:
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE Routing Mark
1 A S 0.0.0.0/0 10.4.100.1 3 LAN
2 A S 0.0.0.0/0 190.101.44.193 2 FULL
3 A S 0.0.0.0/0 10.4.100.1 1
4 ADC 10.4.100.0/24 10.4.100.100 ether1-Wan1 0
5 ADC 190.101.xxx.xxx/xx 190.101.xxx.xxx ether5-Wan2 0
6 ADC 192.168.88.0/24 192.168.88.1 ether2-Lan 0

Фильтр брандмауэра:
;;; Разрешить доступ из локальной сети к AP Full
chain=forward action=accept dst-address=100.0.0.1-100.255.255.254
src-address-list=AP Full

;;; Запретить доступ из локальной сети к AP Restricted
chain=forward action=drop dst-address=100.0.0.1-100.255.255.254
src-address-list=AP Restricted

;;; Запретить доступ из локальной сети к Guests
chain=forward action=drop dst-address=100.0.0.1-100.255.255.254
src-address-list=Guests

Это обеспечивает доступ AP Full через Wan2, AP Restricted через Wan1, а Guests также через Wan2. Весь доступ из локальной сети идёт через Wan1, как я и хотел, и доступ к пулам AP Restricted и Guests заблокирован брандмауэром. Все, что я хотел, работает, как задумано. Надеюсь, вы сможете проверить это и сообщите мне, есть ли какие-нибудь недостатки или ошибки в моей конфигурации, которые мне нужно исправить.

Удачи!

P.S.: Извините за мой плохой английский, я из Чили.

Kiken

Guest

24.08.2012 13:21:00

Ребята, нужна помощь. Я реализовал точку доступа, чтобы регистрировать всех пользователей, которые подключаются, и немного контролировать сеть. Но у меня возникла странная проблема, и надеюсь, вы сможете помочь её решить… DHCP-сервер выдаёт IP-адреса только из диапазона ограниченных, хотя я создал 3 профиля пользователей для точки доступа, которые назначают IP-адреса из правильного диапазона пула. Это значит, что если я создам, например, "user1" и дам ему полный профиль пользователя, точка доступа назначит IP-адрес из диапазона AP Full, но это не будет работать, если не обойти пользователя во вкладке привязок IP. (У него будут права в сетях так, как будто он в пуле AP Restricted). Не подскажет ли кто, почему так происходит?

Kiken Guest	#5 0 27.08.2012 12:41:00 Кто-нибудь?

Kiken Guest	#6 0 31.08.2012 16:21:00 Ну… я решил эту проблему, отключив опцию «Прозрачный прокси» во вкладке «Общие настройки профиля пользователя» Hotspot. Теперь я понятия не имею, почему это сработало, кто-нибудь может мне объяснить, что это за опция? Спасибо.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры