+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Фильтрация по MAC-адресам на мосту (eth1, eth2 и wlan1 и wlan2).

Фильтрация по MAC-адресам на мосту (eth1, eth2 и wlan1 и wlan2)., RouterOS

gluepower

Guest

07.02.2007 15:40:00

У меня 4 сетевых интерфейса: wlan1, wlan2, eth1, eth2. Они объединены в мост. На интерфейсе wlan есть возможность разрешать/запрещать подключения клиентов по MAC-адресу. Хочется делать это для всего моста, а не только для его части. Это уже неплохо, но когда нужно выбирать MAC-адрес, вижу только wlan1 и wlan2, а не eth1 и eth2. Это возможно? Подскажите, как настроить фильтрацию по MAC-адресам для всего Mikrotik, а не только для wlan.

jarosoup

Guest

08.02.2007 18:02:00

Можно настроить фильтрацию MAC-адресов на мосту через файрвол моста. Просто добавь разрешенные src-mac-адреса, а также другой трафик, который тебе может потребоваться, и затем добавь правило, блокирующее весь остальной трафик. Скорее всего, придется немного подкорректировать, чтобы все заработало как надо.

cmit

Guest

07.02.2007 16:07:00

Списки контроля доступа предназначены только для беспроводных интерфейсов. Вот почему вы не можете выбрать там ether1/2. Можно настроить режим ARP на интерфейсе моста в "reply-only" и создать статические записи ARP под "/ip arp". Я сейчас точно не уверен, нужно ли вам настроить режим ARP для каждого интерфейса тоже в "reply-only". Но в любом случае, это точно не повредит. С уважением, Christian Meis.

gluepower

Guest

08.02.2007 16:44:00

Спасибо за ответ. Не могу использовать статическую ARP на беспроводной сети, потому что клиенты за AP в режиме клиента создают проблемы в этой конфигурации. У меня вообще нет MAC-адреса Apclient в записях ARP, только MAC компьютера. И когда я делаю "make static" и затем выбираю "reply-only" на интерфейсе bridge, у клиента пропадает сеть. Если я возвращаю ARP с "reply-only" в "enabled", в записях ARP появляется новый MAC-адрес от AP и IP от компьютера, находящегося за ним. Это проблема, которая происходит только с Ovislink 5460 v2 и Ovislink 5450AP в режиме клиента, и у меня их несколько. (то есть у меня что-то вроде этого в ARP: mac компьютера + IP компьютера, mac AP + IP AP и mac AP + IP компьютера за AP, этот третий случай случайный, иногда происходит, иногда нет, не знаю, почему так. ) Проблема в том, что сеть работает минуту, полчаса, час, и клиент жалуется, что сеть недоступна. Я просто возвращаю ARP с "reply-only" в "enabled", и всё снова работает. Это не должно происходить, но это происходит, поэтому я не могу использовать статическую ARP из-за этого. Возможно ли использовать статическую ARP только на ethernet, а на беспроводной сети нет? И как бы это работало?

gluepower

Guest

08.02.2007 16:52:00

В общем, я люблю фильтрацию по MAC-адресам, как на беспроводной сети. Если есть только такая возможность изменить тип интерфейса, чтобы можно было выбрать eth-карту для фильтрации… Пока что я вижу только решение - выдернуть eth-карту, воткнуть беспроводную и поставить точку доступа в клиентском режиме в 10 см от нее с кабелем в Ethernet. Это глупо, но это единственный способ, который я нашел, чтобы делать фильтрацию по MAC-адресам, как у меня на беспроводной. И как вообще работает DHCP с "reply-only"? Мне кажется, для этого нужны статические записи.

gluepower

Guest

08.02.2007 18:27:00

Это хорошая идея, но я не знаю, как это сделать. По-моему, все должно быть так:
1: если mac 1 - переходить к правилу 50
2: если mac 2 - переходить к правилу 50
3: если mac 3 - переходить к правилу 50
4: отбрасывать все
50: остальные правила в файрволе.
Как это реализовать?

jarosoup Guest	#7 0 08.02.2007 20:11:00 Ну, во-первых, почитайте руководства по брандмауэру и мостам. Затем добавьте свои правила в разделе /interface bridge firewall с нужными MAC-адресами, чтобы разрешить. Заметьте, я предложил это, потому что похоже на то, что вам нужно… но в перспективе это не очень хорошее решение и будет сложно в обслуживании. Вы можете так же легко добавить статические DHCP-аренды известным клиентам и блокировать/разрешать IP-адреса. Лучшим решением может быть использование PPP или Hotspot.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры