Как сделать профиль для пользователей, которые не оплатили счет?

Спасибо!

/ip firewall nat добавить цепочку=dstnat пакет-марк=MyPacketMark действие=dst-nat к-адресам=IPAddressOfTheWebsiteOfYourChoice

Подход dst-nat кажется должен работать, но на деле, похоже, не работает. Я активно использую маркировку пакетов и тестировал вышеописанное с перенаправлением на веб-сайт как внутри, так и за пределами моей сети, но безрезультатно. Кажется, удаленный веб-сайт не получает запрос. Я отключил ip web-proxy, чтобы убедиться, что эта функция не мешает. Должна быть какая-то дополнительная конфигурация, чтобы это заработало — но какая? Кто-нибудь действительно делал это и добивался успеха? -Andrew

Привет! Я использую немного другой способ решения этой проблемы. Использую два списка адресов. Один содержит все валидные IP-адреса пользователей, второй – точно те же IP-адреса, но по умолчанию все отключены. В DST NAT у меня две позиции. Первая использует список адресов с отключенными IP, перенаправляет HTTP-запросы на страницу с “оплатите свои счета…”, вторая – перенаправляет на прозрачный прокси. Теперь, если у кого-то долг, я просто включаю его IP во второй список адресов. У парня доступ только к одной странице. Список IP с "долгом" также использую с фильтром брандмауэра, чтобы отбрасывать все остальные пакеты и отключать другие протоколы, такие как почта, мессенджеры, игры и т.д.

Не уверен, что не работает, но подход dst-nat ДЕЙСТВИТЕЛЬНО работает, я использовал его здесь. Я активно использую маркировку пакетов, и я тестировал вышеописанное с перенаправлением на веб-сайт как внутри, так и за пределами моей сети, но безрезультатно. Кажется, что удаленный веб-сайт не получает запрос. Я отключил ip web-proxy, чтобы убедиться, что эта функция не мешает. Действие в правиле dst-nat будет dst-nat. Должна быть какая-то дополнительная настройка, чтобы это работало — но что именно? Не уверен, что ты имеешь в виду под "дополнительно", но вот обзор того, что должно произойти: Вы должны иметь возможность идентифицировать трафик. Можно использовать IP-адрес, имя интерфейса (для pppoe-подключений) или что-то еще, что может соответствовать код брандмауэра. Интерфейс, на который входит клиентский трафик, НЕ МОЖЕТ быть тем же, с которого пакет будет выходить из маршрутизатора. Веб-сервер должен быть настроен так, чтобы отвечать вашей страницей "вы не заплатили" как для запроса http://ip.add.ress.here, так и для его "404" страницы. Не должно быть других веб-серверов, "слушающих" на этом IP-адресе, потому что пакет прибудет с тем, что будет считаться "неправильными" HTTP/1.1 заголовками. Если вы отбрасываете весь остальной трафик, убедитесь, что вы принимаете трафик tcp/80 (http) и udp/53 (dns) до того, как отбрасывать остальное. Добавьте правило dst-nat, и должно работать. Кто-нибудь на самом деле делал это и добивался успеха? МНОГО раз.

Твой веб-сервер по адресу 10.10.10.3 будет получать HTTP-запросы так, как они пришли от клиентов. То есть, его будут запрашивать для веб-страниц, например, http://www.yahoo.com, http://www.microsoft.com, http://www.you-name-it.net. Твоя конфигурация веб-сервера готова к этому? (То есть, IP-хостинг HTTP, без использования hostnames). Если это не проблема, что именно ты имеешь в виду, когда говоришь, что "это не работает"? Сообщения об ошибках/логи или что-то подобное были бы очень полезны… С наилучшими пожеланиями, Christian Meis

Я так понимаю, если я использую Mikrotik как прозрачный мост, а не как маршрутизатор/NAT-шлюз, то этот трюк не сработает? Эрик

Веб-сервер не выдает никаких ошибок — страница 404 настроена так, чтобы отображаться. Проблема, похоже, в настройках NAT. Там вообще нет трафика. Правила фильтра показывают трафик, но не правило NAT или маскировку.