RB2011UAS-2HnD-IN -- Полный доступ к WLAN, но нет интернета.

Ладно, ещё немного информации для вас… Я тестирую беспроводную сеть с помощью Android-телефона, и я могу успешно пинговать IP-адреса! Я просто не могу просматривать веб-сайты по их доменному имени. Также я могу просматривать мою локальную сеть без проблем (у меня есть сервер, NAS и пара настольных компьютеров, которые я вижу). У меня есть интерфейс моста "bridge-local", который является частью всех портов Ethernet и wlan1. Мой WAN-порт - "ether1-gateway". Ниже приведена запрошенная конфигурация. Меня беспокоит, что IP-адрес по умолчанию роутера - 192.168.88.1. Я изменил его на 192.168.1.1, но ниже видно, что всё ещё отображается X.X.88.1… что это такое и нужно ли это менять?

[admin@MikroTik] > export compact
# jun/21/2013 19:14:14 by RouterOS 5.20
# software id = 6VWM-37F1
#
/interface bridge
add admin-mac=XXXXXXXXXXXXXXX auto-mac=no l2mtu=1598 name=bridge-local \
   protocol-mode=rstp
/interface wireless
set 0 band=2ghz-b/g/n channel-width=20/40mhz-ht-above country="united states" \
   disabled=no distance=indoors ht-rxchains=0,1 ht-txchains=0,1 l2mtu=2290 \
   mode=ap-bridge wireless-protocol=any
/interface ethernet
set 0 name=sfp1-gateway
set 1 name=ether1-gateway
set 6 name=ether6-master-local
set 7 master-port=ether6-master-local name=ether7-slave-local
set 8 master-port=ether6-master-local name=ether8-slave-local
set 9 master-port=ether6-master-local name=ether9-slave-local
set 10 master-port=ether6-master-local name=ether10-slave-local
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk mode=dynamic-keys \
   wpa-pre-shared-key=XXXXXXXXXXXXX wpa2-pre-shared-key=XXXXXXXXXXXXXXX
/ip hotspot user profile
set [ find default=yes ] idle-timeout=none keepalive-timeout=2m
/ip pool
add name=dhcp ranges=192.168.1.10-192.168.1.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge-local name=default
/interface bridge port
add bridge=bridge-local interface=ether2
add bridge=bridge-local interface=ether3
add bridge=bridge-local interface=ether4
add bridge=bridge-local interface=ether5
add bridge=bridge-local interface=ether6-master-local
add bridge=bridge-local interface=wlan1
/interface bridge settings
set use-ip-firewall=yes
/ip address
add address=192.168.1.1/24 comment="default configuration" interface=wlan1
/ip dhcp-client
add comment="default configuration" disabled=no interface=sfp1-gateway
add comment="default configuration" disabled=no interface=ether1-gateway
/ip dhcp-server network
add address=192.168.1.0/24 comment="default configuration" dns-server=\
   192.168.88.1 gateway=192.168.1.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4
/ip dns static
add address=192.168.88.1 name=router
/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add action=drop chain=input comment="default configuration" in-interface=\
   sfp1-gateway
add action=drop chain=input comment="default configuration" in-interface=\
   ether1-gateway
/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" \
   out-interface=sfp1-gateway
add action=masquerade chain=srcnat comment="default configuration" \
   out-interface=ether1-gateway
add action=dst-nat chain=dstnat dst-port=25565 in-interface=ether1-gateway \
   protocol=tcp to-addresses=192.168.1.2 to-ports=25565
add action=dst-nat chain=dstnat dst-port=25565 in-interface=ether1-gateway \
   protocol=udp to-addresses=192.168.1.2 to-ports=25565
add action=dst-nat chain=dstnat dst-port=80 in-interface=ether1-gateway \
   protocol=tcp to-addresses=192.168.1.2 to-ports=80
add action=dst-nat chain=dstnat dst-port=1337 in-interface=ether1-gateway \
   protocol=tcp to-addresses=192.168.1.3 to-ports=1337
add action=dst-nat chain=dstnat dst-port=1337 in-interface=ether1-gateway \
   protocol=udp to-addresses=192.168.1.3 to-ports=1337
add action=dst-nat chain=dstnat dst-port=50696 in-interface=ether1-gateway \
   protocol=tcp to-addresses=192.168.1.3 to-ports=50696
add action=dst-nat chain=dstnat dst-port=50601 in-interface=ether1-gateway \
   protocol=tcp to-addresses=192.168.1.4 to-ports=50601
/ip neighbor discovery
set sfp1-gateway disabled=yes
set ether1-gateway disabled=yes
set wlan1 disabled=yes
/ip smb
set domain=WORKGROUP
/ip upnp
set enabled=yes
/tool mac-server
add disabled=no interface=ether2
add disabled=no interface=ether3
add disabled=no interface=ether4
add disabled=no interface=ether5
add disabled=no interface=ether6-master-local
add disabled=no interface=ether7-slave-local
add disabled=no interface=ether8-slave-local
add disabled=no interface=ether9-slave-local
add disabled=no interface=wlan1
add disabled=no interface=bridge-local
/tool mac-server mac-winbox
set [ find default=yes ] disabled=yes
add interface=ether2
add interface=ether3
add interface=ether4
add interface=ether5
add interface=ether6-master-local
add interface=ether7-slave-local
add interface=ether8-slave-local
add interface=ether9-slave-local
add interface=wlan1
add interface=bridge-local

Рад видеть, что ты разобрался с этим. Можно рассмотреть возможность отключения служб DHCP, если они у тебя есть — отключи в меню GUI: IP > DHCP Server > DHCP, выбери сервер (обычно это dhcp0) и отключи его или удали. Отключить в CLI: ip dhcp-server print disable 0 или какой там у тебя. Однако, если у тебя много устройств, Mikrotik в качестве DHCP-сервера – хороший выбор. Michael

Я бы рекомендовал убрать все неиспользуемые настройки шлюза по умолчанию на ether1 или sfp. Также рекомендую немного изменить правила фильтра брандмауэра. Сейчас у вас /ip firewall filter add chain=input comment=“default configuration” protocol=icmp add chain=input comment=“default configuration” connection-state=established add chain=input comment=“default configuration” connection-state=related add action=drop chain=input comment=“default configuration” in-interface= sfp1-gateway add action=drop chain=input comment=“default configuration” in-interface= ether1-gateway.

Подумайте о том, чтобы изменить последний пункт на что-то вроде этого /ip firewall filter add chain=input action=accept src-address=192.168.1.0/24 in-interface=local-bridge comment=“Allow traffic coming from local bridge” add chain=input action=drop comment="Drop all remaining traffic".

И создайте несколько правил фильтра в цепочке forward. Поиск в Google подскажет вам “простое” решение, соответствующее лучшим практикам.

Код, который у тебя сейчас есть, не сильно неправильный, кроме неиспользуемого sfp-rule, который ничего не делает, потому что интерфейс не задействован. Но, исходя из того, как меня учили и как я обычно настраиваю файрволы, я позволяю проходить только тот трафик, который я хочу, а остальное блокирую. Поэтому я строю правила так: разрешаю внутреннему трафику проходить через файрвол, если он исходит от IP-адреса, известного как моя внутренняя сеть, и входит в роутер из локального сетевого моста. Диапазон IP-адресов не особенно нужен, но добавляет некоторую безопасность, если в сети появится какая-то незваная система. Я не указал out-интерфейс, потому что если ты укажешь, например, ether1-gateway, я не смогу общаться между твоими внутренними системами, хотя это также зависит от настройки моста use-ip-firewall=yes/no. Вот мой полный набор правил:
/ip firewall filter
add action=drop chain=input comment="Drop invalid connections" connection-state=invalid
add chain=input comment="Accept established connections" connection-state=established
add chain=input comment="Accept related connections" connection-state=related
add chain=input comment="Allow access from local network" in-interface=br-PrivateNetwork src-address=192.168.25.0/24
add chain=input comment="Allow access from guest network for DNS" dst-port=53 in-interface=br-GuestNetwork protocol=udp src-address=192.168.125.0/24
add action=log chain=input comment="Log everything else" disabled=yes log-prefix="IPv4 Drop input RR:"
add action=drop chain=input comment="Drop everything else"
add action=drop chain=forward comment="Drop invalid connections" connection-state=invalid
add chain=forward comment="Accept established connections" connection-state=established
add chain=forward comment="Accept related connections" connection-state=related
add chain=forward comment="Allow traffic from Local network" in-interface=br-PrivateNetwork src-address=192.168.25.0/24
add chain=forward comment="Allow Guest network going outside" in-interface=br-GuestNetwork out-interface=pppoe-***** src-address=192.168.125.0/24
add action=log chain=forward comment="Log everything else" disabled=yes log-prefix="IPv4 Drop forward RR:"
add action=drop chain=forward comment="Drop everything else"

Как видишь, у меня 2 сети: гостевая и приватная. Обе используют разные IP-диапазоны, и поскольку я разрешаю гостевому трафику выходить только через мой внешний pppoe-интерфейс, гости не могут подключиться к моим приватным системам.