+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Лучший способ изолировать мосты, чтобы достичь IP-адресов друг друга.

Лучший способ изолировать мосты, чтобы достичь IP-адресов друг друга., RouterOS

LunaticRv

Guest

22.06.2019 12:51:00

Привет, у меня есть 2 мостовых устройства, названных A и B. Я хотел бы изолировать каждый мост друг от друга, чтобы предотвратить доступ по IP. Мост A имеет порты 2, 3, 4, а мост B имеет порты 5, 6, 7. Вот что я сейчас сделал для каждого IP-блока для каждого моста (пример): ;;; A_DROP chain=forward action=drop protocol=!gre dst-address=100.64.1.0/24 in-interface=A log=yes log-prefix=“A_UNATUH_ACCESS_TRIES”. Есть ли более лучший способ сделать это, поскольку мне нужно добавлять отдельное правило для каждого IP-блока? Спасибо заранее.

Gombeen666

Guest

07.07.2019 13:06:00

Так как я новичок, могу задать вопрос насчет четырех мостов? Нужно ли создавать 4 маркера маршрутизации на четырех интерфейсах: (1) интерфейсы=vlanport2 маркер маршрутизации=port2 (2) интерфейсы=vlanport3 маркер маршрутизации=port3 (3) интерфейсы=vlanport4 маркер маршрутизации=port4 (4) интерфейсы=vlanport5 маркер маршрутизации=port5?

anav

Guest

07.07.2019 13:09:00

Я не понимаю, в чем проблема… Мосты уже разделены на втором уровне, VLAN-ы разделены на втором уровне. Единственное, что нужно сделать — это правила для фаервола, и главное — никаких правил для фаервола. Установленные связанные {любые разрешенные правила, типа LAN в WAN}. Последнее правило: добавить chain=forward, action=drop. Готово!

sindy

Guest

07.07.2019 13:15:00

Не имеет значения, новичок вы или опытный профессионал. Вы настроили какую-то конфигурацию, но не показали её, так что нам остаётся только догадываться. Вы выбрали одно из предложенных решений (так как вы упоминаете маршрутизационные метки, вероятно, это решение с VRF), и вы всё ещё не указали, как должна выглядеть общая архитектура сети / матрица трафика, так что нам снова придётся догадываться. Опишите, что у вас уже есть (лучше всего это сделать, экспортировав конфигурацию) и чего вы хотите достичь.

BartoszP

Guest

07.07.2019 14:35:00

@anav: Сети на L2 могут быть изолированы, но маршрутизация на L3 работает, и OP спрашивает, как предотвратить доступ по IP. @OP: как насчет использования фильтров на уровне моста? Всё, что перенаправляется на интерфейс, отличный от WAN, должно быть отклонено.

anav

Guest

07.07.2019 20:11:00

@Bartoz, объясни мне, как устройства с одного моста смогут волшебным образом получать доступ к устройствам на втором мосту, если последнее правило в цепочке перенаправления — отклонять все?? (Я понимаю, что твои знания намного превосходят мои беспорядочные записи на туалетной бумаге, которые составляют мою мнимую экспертизу, LOL, так что пожалуйста, просвети меня!!)

BartoszP

Guest

07.07.2019 20:41:00

anav: может, моя туалетная бумага просто многослойнее твоей? Кстати… Если ты хочешь защитить компьютеры на одном мосту на уровне L3 от другого уровня L3, тебе нужно заблокировать пул моста A (назовем его poolA) от poolB, poolC, poolD… poolC защищает от poolD, но не от poolE… poolF от poolA, poolB, но не от poolZZ и так далее… Поэтому тебе нужно n^2 правил, чтобы заблокировать/разрешить все комбинации мостов/доменов L2… не так ли? На мой взгляд, «головная боль» — это смягчающее выражение для такой ситуации. Для конкретного моста в «IP firewall» ты определяешь, куда пропускать трафик, и тебе все равно, есть ли 10, 20 или 1000 дополнительных доменов/мостов уровня L2? Я не прав? Я не претендую на истину в последней инстанции… поделись своим опытом и знаниями.

Gombeen666

Guest

07.07.2019 21:01:00

Я пытаюсь выяснить, нужны ли мне дополнительные метки маршрутов VRF. В моем случае есть RB750, 3 точки доступа, VLAN-ы + 1 локальный VLAN для администрирования, соединенные 4 мостами с портом 1. Порт 1 - это PTP, на нем находятся VLAN-ы (a + b + c + d). Порт 2 имеет AP1 с VLAN a - Мост A (порты 1 + 2). Порт 3 имеет AP2 с VLAN b - Мост B (порты 1 + 3). Порт 4 имеет AP3 с VLAN c - Мост C (порты 1 + 4). Порт 5 имеет локальный VLAN d - Мост D (порты 1 + 5). У каждой точки доступа есть метка маршрута VRF на интерфейсе VLAN, после чего она подключается к RB750. Нужна ли мне дополнительная метка маршрута VRF, если 4 VLAN-ы становятся на порту 1 RB750?

Gombeen666 Guest	#9 0 07.07.2019 12:10:00 Можно ли попросить совета по поводу того, как лучше всего изолировать четыре моста на RB750: Порт1 + 2 = мост_A, Порт1 + 3 = мост_B, Порт1 + 4 = мост_C, Порт1 + 5 = мост_D?

BartoszP Guest	#10 0 07.07.2019 12:24:00 Как вы добавляете Port1 к четырем различным мостам?

sindy

Guest

#11

07.07.2019 12:48:00

Какова конечная цель? Если вам действительно нужны порты 2-4 для перенаправления трафика на канальном уровне между портом 1 и другими портами, но не друг с другом, поищите "bridge horizon", который позволяет делать именно это на одном мосту. Некоторые микросхемы коммутаторов могут реализовать это на аппаратном уровне, проверьте тип коммутатора, используемого в вашей модели RB. Если вам нужно маршрутизировать между устройствами, подключенными к порту 2, и интернет-каналом, подключенным к порту 1, имеет больше смысла подключить одну подсеть IP к каждому из портов 2..4 и следовать ранее упомянутому подходу.

Gombeen666 Guest	#12 0 07.07.2019 12:53:00 Я создал отдельные VLAN для каждого порта и затем добавил их в мост/порт, так что для моста 2 — у него VLAN порт1 + VLAN порт2, мост 3 имеет VLAN порт1 + VLAN порт3...

sindy Guest	#13 0 07.07.2019 12:57:00 В этом случае трафик разделяется на уровне L2, работая на отдельных мостах; чтобы предотвратить маршрутизацию между IP-подсетями, которые используют эти мосты, можно использовать правила брандмауэра или vrf, как предложено выше.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры