Rb2011il-In

В Winbox зайдите в IP, затем Firewall и создайте новое правило, чтобы блокировать трафик с интерфейса соседней сети (порт источника 6 в вашей схеме) на вашу внутреннюю сеть назначения 192.168.1.0/24.

Тебе нужно убрать порт 6 из группы, чтобы он стал отдельным интерфейсом с адресом 192.168.2.1/24. Я бы подумал о том, чтобы переместить эту отдельную сеть на порт 10. Так будет логическое разделение, и её легче будет отделить от группы, убрав статус подчинённого порта 6, который сейчас является основным. Также в правиле не нужно указывать исходящий интерфейс, так как блокировать нужно адрес 192.168.1.0/24.

Я только что посмотрел твою схему сети. Тебе понадобится правило разрешения для 192.168.1.1 перед блокирующим правилом, чтобы проходил трафик, направленный в интернет. Обычно ADSL-маршрутизаторы можно перевести в мостовой режим, чтобы воспользоваться более гибкими и мощными возможностями роутера RB2011.

Есть несколько настроек по умолчанию, которые тебе не нужны. Например, старый адрес 192.168.88.1. Также, скорее всего, у тебя есть правило scrnat, которое больше не требуется. Нужно добавить шлюз по умолчанию на RB2011 — 192.168.1.1. Кроме того, нужно добавить маршрут на ADSL-маршрутизаторе для сети 192.168.2.0/24 с шлюзом 192.168.1.99 — это адрес RB2011. Все эти дополнительные настройки возникают из-за того, что у тебя в сети два маршрутизатора. Рассмотри вариант с мостом (bridge) на ADSL-маршрутизаторе, чтобы он работал как модем, тогда станет проще. Позже, когда освоишься с Mikrotik, можно будет вернуть всё обратно и расширить сеть.