http://mikrotik.moscow Новое в теме изоляция веб-сервера в локальной сети форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 16:34:22 -0400 изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
В целом, связь между LAN и DMZ работает нормально — нужно контролировать именно трафик из DMZ в LAN. Но, конечно, настраивай всё по необходимости. Кажется, теперь можно кликнуть на профиль человека, чтобы оценить его. Спасибо, что думаешь о карме.
22.04.2016 23:36:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394414 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394414 Fri, 22 Apr 2016 23:36:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Я протестировал правила, которые ты предложил, и они действительно сработали. Теперь я не могу пинговать с dmz в lan, а SSH-соединение работает, даже без правила, разрешающего TCP-порт 22. Но я думаю не принимать все новые пакеты из lan в dmz, а только на те порты, которые мне реально нужны. Вот и всё, большое спасибо за помощь. PS... Я не знаю, как тебя оценить и повысить твою репутацию.
22.04.2016 12:53:00, lnredivo.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394413 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394413 Fri, 22 Apr 2016 12:53:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Хорошо, я только что перечитал ваши исходные правила. Правило 7 разрешало соединения lan>DMZ. Ответы разрешались согласно установленному/связанному правилу.
22.04.2016 00:17:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394412 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394412 Fri, 22 Apr 2016 00:17:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Цепочке srcnat нужна только одна правило: действие=masquerade, интерфейс выхода=ether1. Еще одной возможной причиной может быть то, что у вас адреса DMZ находятся в списке локальных адресов.
22.04.2016 00:09:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394411 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394411 Fri, 22 Apr 2016 00:09:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Я понимаю, что ты сказал, но до введения этого правила пакеты из DMZ свободно проходили в LAN. Возможно, это из-за того, что у меня есть NAT правило Masquerade с листа адресов локальной сети на !local-network.
21.04.2016 22:49:00, lnredivo.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394410 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394410 Thu, 21 Apr 2016 22:49:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Потому что последнее правило отбрасывает любой пакет, который до него добирается. Если ты нигде в более раннем правиле не разрешаешь пакеты из DMZ в LAN, то в итоге они достигнут финального правила, где попадут в чёрную дыру «отбросить все пакеты». Представь цепочку как падение в яму. Каждое правило — это ветка дерева, растущая с края ямы, за которую пакет может зацепиться, если он соответствует условиям. Если ветки нет — пакет падает вниз и разбивается.

Кстати, правило 7 не нужно, потому что правило 3 было изменено так, что принимает любой пакет, который выходит через интерфейс WAN, независимо от того, откуда он пришёл. Правило 7 никогда ничего не «застанет», потому что всё уже прошло через правило 3. Так что проверять его лишний раз — зря тратить ресурсы процессора.
21.04.2016 19:43:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394409 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394409 Thu, 21 Apr 2016 19:43:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Извините, я не понял, почему правило, которое блокирует трафик из DMZ в локальную сеть, не является обязательным, ведь, насколько я понимаю, именно оно изолирует сети и защищает мой локальный домен.
21.04.2016 19:14:00, lnredivo.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394408 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394408 Thu, 21 Apr 2016 19:14:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Сделайте вот так для фильтров переадресации вашего файрвола: (номер индекса я оставил такой же, как в ваших текущих правилах, чтобы вам было проще их переупорядочить)

0 ;;; Отбросить недействительные пакеты в цепочке forward chain=forward action=drop connection-state=invalid  
4 ;;; Переадресация – все установленные и связанные состояния – принять chain=forward action=accept connection-state=established,related  
3 ;;; Переадресация – новое состояние из DMZ на www – принять chain=forward action=accept out-interface=ether1  
1 X ;;; Переадресация – принять новое состояние из локальной сети в DMZ chain=forward action=accept src-address-list=RedesLocais out-interface=DMZ-INTERFACE-NAME (с этого момента любой пакет ОБЯЗАН находиться в новом состоянии, так что проверять это в остальных правилах не нужно)  
2 ;;; Переадресация – порты с dst-nat – принять chain=forward action=accept connection-nat-state=dstnat protocol=tcp in-interface=ether1 dst-port=80,8081,3389,37777,22,5060  
5 ;;; Переадресация – SSH порт в DMZ из локальных сетей – принять chain=forward action=accept protocol=tcp src-address-list=RedesLocais out-interface=DMZ-INTERFACE-NAME dst-port=22 (обратите внимание, это правило не нужно, если правило 1 X ;;; активировано, но я предполагаю, что вы тестируете)  
6 ;;; Переадресация – отбросить всё из DMZ в локальную сеть chain=forward action=drop src-address=192.168.16.252 dst-address=10.2.2.0/24 log=no log-prefix=“”  
7 ;;; Переадресация – новое состояние из локальной сети – принять chain=forward action=accept connection-state=new src-address-list=RedesLocais log=no log-prefix=“” (правила 6 и 7 не обязательны)  
8 ;;; Переадресация – отбросить всё остальное chain=forward action=drop
21.04.2016 18:16:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394407 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394407 Thu, 21 Apr 2016 18:16:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Вот мои правила в цепочке forward: есть ли у вас предложения по улучшению безопасности?

0    ;;; Отбрасывать Invalid в цепочке Forward  
chain=forward action=drop connection-state=invalid log=no log-prefix=“”

1 X  ;;; Forward - принимать новые состояния из локальной сети в DMZ  
chain=forward action=accept connection-state=new src-address-list=RedesLocais dst-address-list=RedeDMZ log=no log-prefix=“”

2    ;;; Forward - принимать dst-nat для разрешённых портов  
chain=forward action=accept connection-nat-state=dstnat protocol=tcp in-interface=ether1 dst-port=80,8081,3389,37777,22,5060 log=no log-prefix=“”

3    ;;; Forward - принимать новые состояния из DMZ в www (кроме локальных сетей)  
chain=forward action=accept connection-state=new src-address-list=RedeDMZ dst-address-list=!RedesLocais log=no log-prefix=“”

4    ;;; Forward - принимать все установленные и связанные состояния  
chain=forward action=accept connection-state=established,related log=no log-prefix=“”

5    ;;; Forward - принимать SSH-подключения в DMZ из локальных сетей  
chain=forward action=accept protocol=tcp src-address-list=RedesLocais dst-address-list=RedeDMZ dst-port=22 log=no log-prefix=“”

6    ;;; Forward - отбрасывать весь трафик из DMZ в локальную сеть  
chain=forward action=drop src-address=192.168.16.252 dst-address=10.2.2.0/24 log=no log-prefix=“”

7    ;;; Forward - принимать новые состояния из локальной сети  
chain=forward action=accept connection-state=new src-address-list=RedesLocais log=no log-prefix=“”

8    ;;; Forward - отбрасывать всё остальное  
chain=forward action=drop log=no log-prefix=“”
21.04.2016 17:58:00, lnredivo.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394406 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394406 Thu, 21 Apr 2016 17:58:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Похоже, что перед правилом блокировки у вас есть другое правило, которое разрешает трафик. Возможно, это просто простое правило «разрешить ICMP» — тогда пинги между сетями проходят, а вот остальное нет (никакого обмена файлами, http и прочего). Пробовали заходить на какие-нибудь сервисы через роутер? (отдалённый рабочий стол — простой тест). В любом случае внимательно посмотрите на цепочку forward и выясните, какое правило пропускает пинги (а может, и все сервисы) через файрвол. Я бы поставил на ICMP или на какое-то странно настроенное правило с перекрученой логикой.
21.04.2016 17:26:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394405 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394405 Thu, 21 Apr 2016 17:26:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Я попробовал с одного компьютера на другой. Работает с правилом брандмауэра в цепочке forward.
21.04.2016 17:06:00, lnredivo.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394404 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394404 Thu, 21 Apr 2016 17:06:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Будьте осторожны, чтобы не тестировать это, пингуя интерфейс «DMZ» Mikrotik из LAN и не делать вывод, что ICMP разрешен. Даже если у вас есть клиент с адресом 192.168.2.44, который пытается пинговать серверную сеть 192.168.3.1 (интерфейс Mikrotik в серверной сети), этот трафик не попадает в цепочку forward, а идет в цепочку input.
21.04.2016 14:42:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394403 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394403 Thu, 21 Apr 2016 14:42:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Вероятно, у вас есть какое-то другое правило перед вашим правилом drop, которое принимает трафик.
21.04.2016 12:39:00, Sob.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394402 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394402 Thu, 21 Apr 2016 12:39:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Я пробовал это, но не получилось, потому что даже если сети разные, маршруты известны RB из таблицы маршрутизации. Я также пытался создать правило в фаерволе, блокирующее весь трафик с сети 1 на сеть 2, но не сработало — ICMP как обычно проходил между двумя сетями.
21.04.2016 12:30:00, lnredivo.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394401 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394401 Thu, 21 Apr 2016 12:30:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Да, я с ним согласен, используй другую сеть, потом настрой перенаправление цепочки drop в правилах файрвола.
21.04.2016 01:40:00, nxs02.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394400 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394400 Thu, 21 Apr 2016 01:40:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Просто используй другую сеть на ether5, затем заблокируй связь между сервером и локальной сетью в цепочке перенаправления firewall. Сначала проверь, что ether5 не является подчинённым — в стандартной конфигурации ether2 выступает мастером для ether3-5.
20.04.2016 21:56:00, sash7.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394399 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394399 Wed, 20 Apr 2016 21:56:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
У меня тот же вопрос. Думаю, использование правила маршрута было бы идеальным для полной изоляции, но тогда удалится возможность управлять веб-сервером объекта из локальной сети.
20.04.2016 20:32:00, lnredivo.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394398 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394398 Wed, 20 Apr 2016 20:32:00 -0400 RouterOS изоляция веб-сервера в локальной сети RouterOS в форуме RouterOS.
Привет, я использую RB951G с базовой конфигурацией и парой небольших доработок. Сейчас хочу запустить веб-сервер в своей локальной сети на eth5. Как лучше всего изолировать трафик веб-сервера от внутренней сети? Думаю использовать VLAN или отдельную IP-подсеть для eth5. Буду очень признателен за любые советы.
15.09.2014 16:24:00, Vitalis.]]> http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394397 http://mikrotik.moscow/forum/forum57/85228-izolyatsiya-veb_servera-v-lokalnoy-seti/message394397 Mon, 15 Sep 2014 16:24:00 -0400 RouterOS