http://mikrotik.moscow Новое в теме Как заблокировать Mac в брандмауэре? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 19:06:41 -0400 Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
В зависимости от вашей RB-модели и от того, откуда физически идёт этот поток, необходимо правило в коммутаторе (предпочтительно, если это технически возможно) или правило в брандмауэре моста. Чтобы правила моста работали, нужно использовать **** /interface bridge settings set use-ip-firewall=yes. Это стандартная настройка для всех мостов, поэтому рассчитывайте на снижение пропускной способности. Правило для моста будет выглядеть так: **** /interface bridge filter add action=drop chain=input src-mac-address=00:11:22:33:44:55/ff:ff:ff:ff:ff:ff mac-protocol=ip ip-protocol=tcp dst-port=8291. Но вполне возможно, что за шлюзовым элементом с этим MAC-адресом находится целая сеть заражённых устройств, поэтому я бы рекомендовал не ограничиваться только этим фильтром и разобраться в проблеме дальше.
28.03.2018 17:30:00, sindy.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230215 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230215 Wed, 28 Mar 2018 17:30:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
У меня настроено правило брандмауэра, которое блокирует несанкционированный доступ к Winbox, кроме тех, что внесены в наш список адресов. Но я получаю шквал запросов с конкретного MAC-адреса, который пытается подключиться к Winbox, используя подставные IP-адреса. Попытки подключения происходят в огромном количестве в минуту. Как это можно предотвратить или как заблокировать этот IP/MAC-адрес? Вот мое правило брандмауэра для Winbox:

add action=drop chain=input comment="Drop anyone in the Black List (Winbox)" disabled=no src-address-list="Black List (Winbox)"
add action=drop chain=forward comment="Drop anyone in the Black List (Winbox)" disabled=no src-address-list="Black List (Winbox)"
add action=jump chain=input comment="Jump to RWF Winbox Chain" disabled=no jump-target="RWF Winbox Chain"
add action=add-src-to-address-list address-list="Black List (Winbox)" address-list-timeout=0s chain="RWF Winbox Chain" comment="Transfer repeated attempts from Winbox Stage 3 to Black-List" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list="Winbox Stage 3" address-list-timeout=1m chain="RWF Winbox Chain" comment="Add succesive attempts to Winbox Stage 3" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list="Winbox Stage 2" address-list-timeout=1m chain="RWF Winbox Chain" comment="Add succesive attempts to Winbox Stage 2" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=add-src-to-address-list address-list="Winbox Stage 1" address-list-timeout=1m chain="RWF Winbox Chain" comment="Add Intial attempt to Winbox Stage 1" connection-state=new disabled=no dst-port=8291 protocol=tcp
add action=log chain="RWF Winbox Chain" comment="Log Black Listed IPs" disabled=no log-prefix="Winbox Black List - " src-address-list="Black List (Winbox)"
add action=return chain="RWF Winbox Chain" comment="Return From RWF Winbox Chain" disabled=no
add chain=output comment="Section Break" disabled=yes
27.03.2018 21:49:00, ariosvelez.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230214 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230214 Tue, 27 Mar 2018 21:49:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
tneumann, ок, спасибо за совет.
14.07.2005 14:07:00, marvin.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230213 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230213 Thu, 14 Jul 2005 14:07:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Попробуйте использовать физический порт (интерфейс), который входит в состав моста (например, ether3 или wlan1 или что-то типа того) вместо bridge1 для out-bridge-port и in-bridge-port. Кстати, обычно in- и out-порты не будут одинаковыми, потому что кадр с одинаковыми in- и out-портами в любом случае не будет пересылаться через мост. –Tom
13.07.2005 19:27:00, tneumann.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230212 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230212 Wed, 13 Jul 2005 19:27:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Окей, вот что я добавил в файрвол: add chain=forward src-mac-address=00:30:F1:10:2E:3C in-bridge-port=bridge1 out-bridge-port=bridge1 action=drop comment="" disabled=no Но я все еще могу пинговать его IP-адрес, что, кажется, говорит мне о том, что он не блокирует. Не хватает чего-то, чтобы это заработало?
13.07.2005 18:36:00, marvin.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230211 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230211 Wed, 13 Jul 2005 18:36:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Из командной строки перейдите в > "интерфейс bridge firewall", а в Winbox — в меню настроек bridge в разделе "интерфейсы" (оба варианта для 2.8.x — с 2.9 пока не знаком). Всё, что нужно сделать, — добавить проблемный MAC-адрес в "src-mac-address" и установить действие "drop". Это должно его заблокировать.
13.07.2005 01:38:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230210 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230210 Wed, 13 Jul 2005 01:38:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Ну, я тут новичок в плане файрволов Mikrotik, пока только учусь. Можешь показать пример, как это настроить в брандмауэре bridge?
12.07.2005 21:58:00, marvin.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230209 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230209 Tue, 12 Jul 2005 21:58:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Раз это же мост, почему бы вам не попробовать межсетевой экран для моста?
12.07.2005 21:30:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230208 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230208 Tue, 12 Jul 2005 21:30:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Да, мы на связи с компанией, занимающейся управлением полосы пропускания. Похоже, в последнем обновлении программного обеспечения есть ошибка, и оно пропускает IPS, не соответствующие корректным MAC-адресам или не зарегистрированные в системе. Но пока мы не можем понять, откуда это происходит, или что-то в этом роде. Заметили, что MAC-адрес остался прежним, а IP меняется. Надеемся, что это решение продержится достаточно долго и правильно, пока они не исправят эту ошибку.
12.07.2005 20:42:00, marvin.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230207 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230207 Tue, 12 Jul 2005 20:42:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Ах, вы имеете в виду v2.9, возможно, это просто ошибка. В v2.8 всё работает. Но менять MAC-адрес так же просто, как менять IP-адрес, на большинстве карт, которые я использовал. Может, стоит поискать решение, которое устранит причину проблемы. "Хакнуть" симптомы проблемы редко приводит к её исчезновению.
12.07.2005 20:20:00, sten.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230206 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230206 Tue, 12 Jul 2005 20:20:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Раз он/она постоянно меняет IP-адреса, придётся блокировать по MAC-адресу. Я пробовал добавить chain=forward src-mac-address=00:30:F1:10:2E:3C action=reject reject-with=icmp-admin-prohibited comment=“” disabled=no, но не сработало. Как мне правильно это сформулировать?
12.07.2005 18:35:00, marvin.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230205 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230205 Tue, 12 Jul 2005 18:35:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Пытаешься заблокировать по IP → Firewall или Bridge → Firewall? Добавление его MAC-адреса в качестве src-mac-адреса в брандмауэре бриджа должно помочь.
12.07.2005 16:27:00, jarosoup.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230204 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230204 Tue, 12 Jul 2005 16:27:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Нет, у нас кто-то "призрачит" наши IP-адреса и вызывает конфликты IP-адресов с клиентами. Нам нужно заблокировать MAC-адрес этого человека, чтобы у него не было доступа.
12.07.2005 14:28:00, marvin.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230203 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230203 Tue, 12 Jul 2005 14:28:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
Если собираешься проверить, работает ли фильтр моста, то не тестируй его прямо с моста. Фильтр пропускает только то, что через него проходит. Так, по крайней мере, в 2.8.x.
12.07.2005 09:39:00, sten.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230202 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230202 Tue, 12 Jul 2005 09:39:00 -0400 RouterOS Как заблокировать Mac в брандмауэре? RouterOS в форуме RouterOS.
У нас есть один мост bridge1, соединяющий ether1, wlan1, wlan2, wlan3. Но как создать фильтр, чтобы блокировать конкретный MAC-адрес? Я пытался создать его в Winbox, но не получилось.
11.07.2005 22:14:00, marvin.]]> http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230201 http://mikrotik.moscow/forum/forum57/60415-kak-zablokirovat-mac-v-brandmauere/message230201 Mon, 11 Jul 2005 22:14:00 -0400 RouterOS