http://mikrotik.moscow Новое в теме Правила брандмауэра между двумя локальными сетями – как помочь? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 17 Aug 2026 17:35:42 -0400 Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Я решил эту проблему так: http://forum.mikrotik.com/t/port-forwarding-by-ip/71189/1
10.11.2013 15:14:00, y0d4.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225787 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225787 Sun, 10 Nov 2013 15:14:00 -0500 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Как указано выше, вам потребуется правило, которое позволит серверам взаимодействовать со всеми локальными сетями, правило, которое позволит всем локальным сетям взаимодействовать с серверами, и, наконец, правило, которое отбрасывает все пакеты, не соответствующие этим правилам. Правило отбрасывания должно быть последним.
10.11.2013 01:52:00, CTrain.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225786 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225786 Sun, 10 Nov 2013 01:52:00 -0500 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Та же проблема у меня. Кто-нибудь может помочь?
03.11.2013 00:04:00, y0d4.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225785 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225785 Sun, 03 Nov 2013 00:04:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Привет всем! У меня три отдельные LAN, и между ними запрещено взаимодействие пакетами по правилам файрвола. Хочу добавить исключение для двух серверов из этих двух отдельных LAN, чтобы они могли общаться друг с другом. Есть какие-нибудь предложения?
09.11.2012 12:39:00, rixon.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225784 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225784 Fri, 09 Nov 2012 12:39:00 -0500 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Всё уладили?
29.08.2012 13:41:00, sirEgghead.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225783 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225783 Wed, 29 Aug 2012 13:41:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Спасибо. Это немного проясняет картину в моей голове.
29.08.2012 11:16:00, patrickmkt.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225782 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225782 Wed, 29 Aug 2012 11:16:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
/ip firewall address-list add list="servers" address=192.168.20.100
/ip firewall address-list add list="servers" address=192.168.20.101
/ip firewall address-list add list="servers" address=192.168.30.100
/ip firewall address-list add list="servers" address=192.168.30.101

/ip firewall filter add comment="allow servers" disabled=no chain=forward src-address-list="servers" action=allow
/ip firewall filter add disabled=no chain=forward dst-address-list="servers" action=allow

/ip firewall filter add comment="dropLANa-LANb" disabled=no chain=forward in-interface=ether2-LANA out-interface=ether3-LANB action=drop
/ip firewall filter add comment="dropLANb-LANa" disabled=no chain=forward in-interface=ether3-LANB out-interface=ether2-LANA action=drop Поскольку правила "allow servers" идут первыми, соединения с серверами и с них разрешены, прежде чем проверяются правила блокировки. "Established" и "related" в данном случае не нужны. Так всё упрощается. Можно сузить правила доступа к серверам, если хотите. Например, добавив другой список адресов и изменив 2 правила "allow server", всё выглядело бы примерно так: /ip firewall address-list add list="LANs" address=192.168.20.0/24
/ip firewall address-list add list="LANs" address=192.168.30.0/24

/ip firewall filter add comment="allow servers" disabled=no chain=forward src-address-list="LANs" dst-address-list="servers" action=allow
/ip firewall filter add chain=forward src-address-list="servers" dst-address-list="LANs" action=allow Допустим, вы хотите разрешить доступ к серверам всем в обеих сетях LAN, за исключением компьютера, который используется исключительно для гостей. Назовем адрес этого гостевого компьютера 192.168.30.200. Вы можете добавить эти 2 правила блокировки выше ваших существующих правил разрешения: /ip firewall filter add comment="no guest access to server" disabled=no chain=forward src-address=192.168.30.200 dst-address-list="servers" action=drop
/ip firewall filter add disabled=no chain=forward dst-address=192.168.30.200 src-address-list="servers" action=drop Или вы можете объединить это с вашими существующими правилами фильтрации: /ip firewall filter add comment="allow servers" disabled=no chain=forward src-address-list="LANs" dst-address-list="servers" src-address=!192.168.30.200 action=allow
/ip firewall filter add disabled=no chain=forward src-address-list="servers" dst-address-list="LANs" dst-address=!192.168.30.200 action=allow Надеюсь, это поможет! Thomas
28.08.2012 16:26:00, sirEgghead.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225781 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225781 Tue, 28 Aug 2012 16:26:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Похоже, я понял: ты разрешаешь установленные соединения, но для установления TCP-соединения уже нужна связь в обе стороны. Так что, думаю, тебе стоит разрешить весь трафик с сервера во вторую сеть, чтобы он мог ответить и установить соединение, а потом правило, разрешающее уже установленное соединение, не понадобится.
26.08.2012 21:18:00, Zavi.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225780 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225780 Sun, 26 Aug 2012 21:18:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Да, только что проверил. Наверное, тут я делаю что-то очевидно глупое, но не могу понять, что именно. Может, дело в каких-то установленных правилах? Адреса источника и назначения должны быть с точки зрения входящего трафика или по пути возврата? Может, я все перепутал? В вики я не нашел ни одного примера для такой простой конфигурации: блокировать весь трафик между двумя локальными сетями, кроме трафика к серверу с несколькими сервисами.
26.08.2012 20:43:00, patrickmkt.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225779 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225779 Sun, 26 Aug 2012 20:43:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Включен ли conntrack? Он нужен для правил "established" и "related".
26.08.2012 20:01:00, Zavi.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225778 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225778 Sun, 26 Aug 2012 20:01:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Никто?
26.08.2012 13:00:00, patrickmkt.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225777 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225777 Sun, 26 Aug 2012 13:00:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Ладно, видимо, я не совсем понятно изъяснился в своём описании. Вот порядок моих правил: ;;; от A к B

    chain=forward action=accept dst-address-list=listB in-interface=ether2-LANA out-interface=ether3-LANB
    chain=forward action=accept connection-state=established src-address-list=listA in-interface=ether2-LANA out-interface=ether3-LANB
    chain=forward action=accept connection-state=related src-address-list=listA in-interface=ether2-LANA out-interface=ether3-LANB
    chain=forward action=drop in-interface=ether2-LANA out-interface=ether3-LANB

;;; from B to A
    chain=forward action=accept dst-address-list=listA in-interface=ether3-LANB out-interface=ether2-LANA
    chain=forward action=accept connection-state=established src-address-list=listB in-interface=ether3-LANB out-interface=ether2-LANA
    chain=forward action=accept connection-state=related src-address-list=listB in-interface=ether3-LANB out-interface=ether2-LANA
    chain=forward action=drop in-interface=ether3-LANB out-interface=ether2-LANA

;;; default configuration
    chain=input action=accept protocol=icmp
    chain=input action=accept connection-state=established
    chain=input action=accept connection-state=related
    chain=input action=drop in-interface=ether1-gateway но когда я пытаюсь подключиться к серверу из другой LAN, мое правило сброса блокирует весь возвратный трафик от сервера.
17.08.2012 14:27:00, patrickmkt.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225776 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225776 Fri, 17 Aug 2012 14:27:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Было бы полезно увидеть правила в контексте и в том порядке, в котором они устанавливаются — порядок имеет значение. Я бы посоветовал пересмотреть логику правил пересылки. Ваше последнее правило пересылки должно быть правилом "отбрасывать всё". Всё, что вы хотите пересылать, должно быть охвачено правилом "принимать" выше правила "отбрасывать всё". Иными словами, пересылка должна быть исключением, а отбрасывание — поведением по умолчанию.
17.08.2012 13:57:00, CelticComms.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225775 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225775 Fri, 17 Aug 2012 13:57:00 -0400 RouterOS Правила брандмауэра между двумя локальными сетями – как помочь? RouterOS в форуме RouterOS.
Привет, у меня такая конфигурация: ether1-gateway: WAN 192.168.1.1/24, ether2-LANA: LAN A 192.168.20.1/24, ether3-LANB: LAN B 192.168.30.1/24.

По умолчанию нет доступа с WAN к каким-либо LAN, но каждая LAN может подключаться к другой LAN или к WAN.

Теперь я хочу изолировать обе LAN:
chain=forward action=drop in-interface=ether2-LANA out-interface=ether3-LANB
chain=forward action=drop in-interface=ether3-LANB out-interface=ether2-LANA

Вроде бы всё работает.

Теперь я хочу добавить два сервера в LAN A и два сервера в LAN B, которые должны быть доступны из обеих LAN. Я создал следующие правила перед предыдущими drop:

Address list: listA: server A1, A2; listB: server B1, B2.
chain=forward action=accept dst-address-list=listA in-interface=ether3-LANB out-interface=ether2-LANA
chain=forward action=accept dst-address-list=listB in-interface=ether2-LANA out-interface=ether3-LANB

Но это не работает, если не отключить правило drop. Я подумал, что, возможно, мне нужно добавить правило обратного пути для установленных и связанных соединений, и тогда я добавил:

chain=forward action=accept connection-state=established src-address-list=listA in-interface=ether2-LANA out-interface=ether3-LANB
chain=forward action=accept connection-state=related src-address-list=listA in-interface=ether2-LANA out-interface=ether3-LANB
chain=forward action=accept connection-state=established src-address-list=listB in-interface=ether3-LANB out-interface=ether2-LANA
chain=forward action=accept connection-state=related src-address-list=listB in-interface=ether3-LANB out-interface=ether2-LANA

Но всё равно не работает, возвращаемые пакеты всё ещё попадают под правило drop. Что я делаю не так здесь?
17.08.2012 05:13:00, patrickmkt.]]> http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225774 http://mikrotik.moscow/forum/forum57/59421-pravila-brandmauera-mezhdu-dvumya-lokalnymi-setyami-_-kak-pomoch/message225774 Fri, 17 Aug 2012 05:13:00 -0400 RouterOS