Как заблокировать трафик между VLAN?

Всем привет! Я новичок в сетевых технологиях, но сейчас разбираюсь с MikroTik. У меня похожая проблема. Есть две сети, подключённые к ether1 и ether2. Мне нужно, чтобы сеть на ether1 имела доступ в интернет, но не могла подключаться к сети на ether2. Сеть на ether2 должна иметь доступ в интернет и к сети на ether1.

Правка: решил проблему, попробовав следующий метод, но только с использованием интерфейсов:

add chain=forward in-interface=eth2  
add chain=forward connection-state=established,related in-interface=eth1  
add action=drop chain=forward in-interface=eth1 out-interface=eth2

Всем привет! Я перепробовал все методы отсюда, на RB751 с архитектурой mipsbe всё работает, но когда я попытался заблокировать на RB3011 Arm, эти правила блокируют ICMP, но, например, доступ к любому сайту с другой стороны всё равно остаётся возможным. В чём может быть проблема? Я уже обновил RouterOS до версии 6.37.3 и прошивку до 3.35. Буду благодарен за помощь! Спасибо!

Привет, у меня Mikrotik RB951 как шлюзовый роутер и DHCP-сервер, затем транк на коммутатор Catalyst 2960 Series… настроил 6 VLAN (100-600), и серверы находятся в VLAN-100. Я следовал рекомендациям Docmarius и добавил вот такую строку, выделенную красным: «add action=accept chain=forward comment=2>1 dst-address-list=100 src-address-list=200» (я добавил адрес назначения, так как с источником одному не работало). Мне удалось отфильтровать трафик между VLAN-ами: все VLAN-ы могут обращаться к VLAN-100 и выходить в интернет, но не видят друг друга, как я и планировал.

Ниже привожу конфигурации, посмотрите, может где-то излишества.

[ip firewall address-list]
add address=10.5.51.0/24 list=100  
add address=10.5.53.0/24 list=300  
add address=10.5.54.0/24 list=400  
add address=10.5.55.0/24 list=500  
add address=10.5.52.0/24 list=200  
add address=10.5.56.0/24 list=600  

[ip firewall filter]
add action=accept chain=forward comment=“Accept traffic from VLAN subnets to WAN” out-interface=ether4-Gateway  
add action=accept chain=forward comment=2>1 dst-address-list=100 src-address-list=200  
add action=accept chain=forward comment=2<>1 connection-state=established,related src-address-list=100  
add action=accept chain=forward comment=3>1 dst-address-list=100 src-address-list=300  
add action=accept chain=forward comment=3<>1 connection-state=established,related src-address-list=100  
add action=accept chain=forward comment=4>1 dst-address-list=100 src-address-list=400  
add action=accept chain=forward comment=4<>1 connection-state=established,related src-address-list=100  
add action=accept chain=forward comment=5>1 dst-address-list=100 src-address-list=500  
add action=accept chain=forward comment=5<>1 connection-state=established,related src-address-list=100  
add action=accept chain=forward comment=6>1 dst-address-list=100 src-address-list=600  
add action=accept chain=forward comment=6<>1 connection-state=established,related src-address-list=100  
add action=drop chain=forward dst-address=10.5.54.0/24 src-address=10.5.52.0/24  
add action=reject chain=forward comment=“Block Communication between all VLAN subnets” reject-with=icmp-net-prohibited src-address=10.5.52.1-10.5.255.255

Как же этот тред так раскрутился, ха-ха! Учтите, что на самом деле нужны только стандартные правила файрвола... Из настроек Default firewall rule на любом роутере MT:  
Forward chain (стандартные правила)  
fasttrack allow established, related (нужна только одна такая запись в forward chain)  
drop invalid packets  
Пользовательские правила (предположим, что есть три VLAN — 10, 20, 30):  
- разрешить VLAN 10 выход в интернет  
- разрешить VLAN 20 выход в интернет  
- разрешить пользователям VLAN 20 доступ к общему принтеру в VLAN 10 (например, из подсети VLAN на один IP)  
- разрешить администратору (в VLAN 30) доступ ко всем остальным VLAN 10, 20  
- разрешить администратору выход в интернет (один IP в VLAN 30)  
Последнее правило — DROP ALL ELSE  
Готово. VLAN (все на одном мосту) по своей структуре блокируют помехи на уровне Layer 2. Правила файрвола блокируют или позволяют «перекличку» в зависимости от пользовательских правил уже на уровне Layer 3 (маршрутизация).

Предоставьте схему, чтобы мы могли понять, какую сеть вы хотите создать, а затем опишите некоторые требования — чего вы хотите достичь с вашей сетью в плане пользователей (без обсуждения конфигурации оборудования). Иначе вопрос получается слишком расплывчатым…