изоляция подсетей и маршрутизация избранных хостов

[gmx]

Ну так вед переделайте ограничение так, как описывается в данной теме. И все проблемы. Вам будут доступны адрес листы и многие другие возможности фаерволла.

[gmx]

Думаю, тоже можно, например, разделив одну подсеть на сегменты маской.
Например, указал в IP-routes-rules маску не 24, а 29, вы, пусть не совсем удобно, но сможете либо разрешить, либо запретить доступ, диапазону 192.168.1.1-.6, ну и так далее... Но я бы не назвал это шибко элегантным решением.

Во-первых, часть адресов потеряется из максимального диапазона по понятным причинам, во-вторых, через месяц уже забудется все это, и когда понадобится что-то поменять, придется снова считать маску, диапазоны и так далее.

[AIRDAN]

Добрый день. Подскажите пожалуйста по правилам фаервола.
Железо 750Gr3. Версия 6.45.2.
Или я не до понимаю алгоритма работы или это какой то глюк?

Есть две сети. Сети висят на разных интерфейсах и мостов между ними нет.
Нужно запретить трафик между сетями, кроме определённых хостов.
В принципе делаю всё как в вышеуказанных примерах, но без минимализации.

/ip firewall address-list
add address=10.0.1.1 list=L1
add address=10.0.2.2 list=L2

Вариант 1 - всё отлично работает.
add action=accept chain=forward dst-address-list=L1 src-address-list=L2
add action=accept chain=forward dst-address-list=L2 src-address-list=L1
add action=drop chain=forward dst-address=10.0.1.0/24 src-address=10.0.2.0/24
add action=drop chain=forward dst-address=10.0.2.0/24 src-address=10.0.1.0/24

Вариант 2 - не работает! Почему?
add action=drop chain=forward dst-address=10.0.1.0/24 dst-address-list=!L1 src-address=10.0.2.0/24 src-address-list=!L2
add action=drop chain=forward dst-address=10.0.2.0/24 dst-address-list=!L2 src-address=10.0.1.0/24 src-address-list=!L1

Второй вариант отрабатывает только если адресов источника и получателя нет в списках.
Если адрес источника есть в списке, то он может общаться с любым хостом в сети получателя.
Если адреса источника нет в списке, то он может общаться с хостами, указанными в списке получателей.
Получается, что совместное использование src-address-list=! и dst-address-list=! обрабатывается не как И, а как ИЛИ.
Это нормально или это глюк?
Спасибо.

[gmx]

Да, сталкивался с этим как-то давно!

Если заполнено scr-address, то scr-address-list не обрабатывается, как ожидается.
Я просто забил и использую всегда что-то одно. Чаще листы...

[Aleksander]

Приветствую. Подскажите плиз. Не могу сам осилить.
RB2011UiAS-2HnD
Входящий АйПи - 192.168.0.39
ВайФай сеть - 172.16.9.0
Ноутбук подключен по ВайФай может зайти в расшаренную папку в локальной сети 192.168.0.0/24 по АйПи.
Сервер 1С пингуется по АйПи. По имени нет и соответственно в 1С с ноутбука нет доступа.
Подскажите плиз как настроить.

[KaNelam]

Входящий АйПи - 192.168.0.39

Входящий куда? Входящий откуда? НАТ одной сети в другую?

[Aleksander]

Входящий АйПи - 192.168.0.39

Входящий куда? Входящий откуда? НАТ одной сети в другую?

Входящий - из локальной сети 192.168.0.0/24 в 1 порт маршрутизатора. (ether1)

[KaNelam]

Входящий АйПи - 192.168.0.39

Входящий куда? Входящий откуда? НАТ одной сети в другую?

Входящий - из локальной сети 192.168.0.0/24 в 1 порт маршрутизатора. (ether1)

Нетбиос работает в пределах одного широковещательного домена, в вашем случае в сети 192.168.0.0/24. Вариант получать адреса из той сети, вифи и приходящий эзернет в бридж.

[Aleksander]

Нетбиос работает в пределах одного широковещательного домена, в вашем случае в сети 192.168.0.0/24. Вариант получать адреса из той сети, вифи и приходящий эзернет в бридж.

Так можно как-то сделать?

[KaNelam]

Нетбиос работает в пределах одного широковещательного домена, в вашем случае в сети 192.168.0.0/24. Вариант получать адреса из той сети, вифи и приходящий эзернет в бридж.

Так можно как-то сделать?

Описал выше, на 2011 создаете бридж, в него включаете ether1 и wifi.