+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Как заблокировать Mac в брандмауэре?

Как заблокировать Mac в брандмауэре?, RouterOS

marvin Guest	#1 0 11.07.2005 22:14:00 У нас есть один мост bridge1, соединяющий ether1, wlan1, wlan2, wlan3. Но как создать фильтр, чтобы блокировать конкретный MAC-адрес? Я пытался создать его в Winbox, но не получилось.

sten Guest	#2 0 12.07.2005 09:39:00 Если собираешься проверить, работает ли фильтр моста, то не тестируй его прямо с моста. Фильтр пропускает только то, что через него проходит. Так, по крайней мере, в 2.8.x.

marvin Guest	#3 0 12.07.2005 14:28:00 Нет, у нас кто-то "призрачит" наши IP-адреса и вызывает конфликты IP-адресов с клиентами. Нам нужно заблокировать MAC-адрес этого человека, чтобы у него не было доступа.

jarosoup Guest	#4 0 12.07.2005 16:27:00 Пытаешься заблокировать по IP → Firewall или Bridge → Firewall? Добавление его MAC-адреса в качестве src-mac-адреса в брандмауэре бриджа должно помочь.

marvin

Guest

12.07.2005 18:35:00

Раз он/она постоянно меняет IP-адреса, придётся блокировать по MAC-адресу. Я пробовал добавить chain=forward src-mac-address=00:30:F1:10:2E:3C action=reject reject-with=icmp-admin-prohibited comment=“” disabled=no, но не сработало. Как мне правильно это сформулировать?

sten

Guest

12.07.2005 20:20:00

Ах, вы имеете в виду v2.9, возможно, это просто ошибка. В v2.8 всё работает. Но менять MAC-адрес так же просто, как менять IP-адрес, на большинстве карт, которые я использовал. Может, стоит поискать решение, которое устранит причину проблемы. "Хакнуть" симптомы проблемы редко приводит к её исчезновению.

marvin

Guest

12.07.2005 20:42:00

Да, мы на связи с компанией, занимающейся управлением полосы пропускания. Похоже, в последнем обновлении программного обеспечения есть ошибка, и оно пропускает IPS, не соответствующие корректным MAC-адресам или не зарегистрированные в системе. Но пока мы не можем понять, откуда это происходит, или что-то в этом роде. Заметили, что MAC-адрес остался прежним, а IP меняется. Надеемся, что это решение продержится достаточно долго и правильно, пока они не исправят эту ошибку.

jarosoup Guest	#8 0 12.07.2005 21:30:00 Раз это же мост, почему бы вам не попробовать межсетевой экран для моста?

marvin Guest	#9 0 12.07.2005 21:58:00 Ну, я тут новичок в плане файрволов Mikrotik, пока только учусь. Можешь показать пример, как это настроить в брандмауэре bridge?

jarosoup

Guest

#10

13.07.2005 01:38:00

Из командной строки перейдите в > "интерфейс bridge firewall", а в Winbox — в меню настроек bridge в разделе "интерфейсы" (оба варианта для 2.8.x — с 2.9 пока не знаком). Всё, что нужно сделать, — добавить проблемный MAC-адрес в "src-mac-address" и установить действие "drop". Это должно его заблокировать.

marvin

Guest

#11

13.07.2005 18:36:00

Окей, вот что я добавил в файрвол: add chain=forward src-mac-address=00:30:F1:10:2E:3C in-bridge-port=bridge1 out-bridge-port=bridge1 action=drop comment="" disabled=no Но я все еще могу пинговать его IP-адрес, что, кажется, говорит мне о том, что он не блокирует. Не хватает чего-то, чтобы это заработало?

tneumann

Guest

#12

13.07.2005 19:27:00

Попробуйте использовать физический порт (интерфейс), который входит в состав моста (например, ether3 или wlan1 или что-то типа того) вместо bridge1 для out-bridge-port и in-bridge-port. Кстати, обычно in- и out-порты не будут одинаковыми, потому что кадр с одинаковыми in- и out-портами в любом случае не будет пересылаться через мост. –Tom

marvin Guest	#13 0 14.07.2005 14:07:00 tneumann, ок, спасибо за совет.

ariosvelez

Guest

#14

27.03.2018 21:49:00

У меня настроено правило брандмауэра, которое блокирует несанкционированный доступ к Winbox, кроме тех, что внесены в наш список адресов. Но я получаю шквал запросов с конкретного MAC-адреса, который пытается подключиться к Winbox, используя подставные IP-адреса. Попытки подключения происходят в огромном количестве в минуту. Как это можно предотвратить или как заблокировать этот IP/MAC-адрес? Вот мое правило брандмауэра для Winbox:

add action=drop chain=input comment="Drop anyone in the Black List (Winbox)" disabled=no src-address-list="Black List (Winbox)"
add action=drop chain=forward comment="Drop anyone in the Black List (Winbox)" disabled=no src-address-list="Black List (Winbox)"
add action=jump chain=input comment="Jump to RWF Winbox Chain" disabled=no jump-target="RWF Winbox Chain"
add action=add-src-to-address-list address-list="Black List (Winbox)" address-list-timeout=0s chain="RWF Winbox Chain" comment="Transfer repeated attempts from Winbox Stage 3 to Black-List" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list="Winbox Stage 3" address-list-timeout=1m chain="RWF Winbox Chain" comment="Add succesive attempts to Winbox Stage 3" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list="Winbox Stage 2" address-list-timeout=1m chain="RWF Winbox Chain" comment="Add succesive attempts to Winbox Stage 2" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list="Winbox Stage 1" address-list-timeout=1m chain="RWF Winbox Chain" comment="Add Intial attempt to Winbox Stage 1" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=log chain="RWF Winbox Chain" comment="Log Black Listed IPs" disabled=no log-prefix="Winbox Black List - " src-address-list="Black List (Winbox)"
add action=return chain="RWF Winbox Chain" comment="Return From RWF Winbox Chain" disabled=no
add chain=output comment="Section Break" disabled=yes

sindy Guest	#15 0 28.03.2018 17:30:00 В зависимости от вашей RB-модели и от того, откуда физически идёт этот поток, необходимо правило в коммутаторе (предпочтительно, если это технически возможно) или правило в брандмауэре моста. Чтобы правила моста работали, нужно использовать ** /interface bridge settings set use-ip-firewall=yes. Это стандартная настройка для всех мостов, поэтому рассчитывайте на снижение пропускной способности. Правило для моста будет выглядеть так: ** /interface bridge filter add action=drop chain=input src-mac-address=00:11:22:33:44:55/ff:ff:ff:ff:ff:ff mac-protocol=ip ip-protocol=tcp dst-port=8291. Но вполне возможно, что за шлюзовым элементом с этим MAC-адресом находится целая сеть заражённых устройств, поэтому я бы рекомендовал не ограничиваться только этим фильтром и разобраться в проблеме дальше.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры