classic.ISPforum.cz

Dobrý den, prosím o radu.
Pokud dělám Mikrotikem NAT s maškarádou pro 4 ethernety, každý s vlastním subnetem a:
1) uživatelé z jednotlivých etherentů nesmí vidět do ostatních ethernetů (subnetů), což ve firewallu mohu řešit pravidly:

Lze toto rovnocenně realizovat i pravidly bez definování src a dst IP, ale naopak s definováním input a output interface?


2) pokud značím pakety pomocí pravidel pro následné zpracování v QT:

Lze toto rovnocenně realizovat i těmito pravidly?


Zkoušel jsem to a zdá se mi, že to funguje jak má.

Ono to také lze definovat tak, že vstup který není WAN může jen na WAN. Tedy jedno jediné pravidlo. (něco jako in-interface=!ether1 out-interface=!ether1 action=drop)
Mimochodem proč si myslíš, že by to nemělo jít?

Nejjednodušší řešení je si to zkusit. U těch queue nemáš vcelku co zkazit. Maximálně to bude fungovat špatně ...

Díky, Ludvíku.
To pravidlo co píšeš mě vskutku nenapadlo a je geniální

Já si to právě nemyslím, ale někde v diskuzích jsem se setkal s tvrzením, že bych měl v pravidlech definovat IP adresy a vyhýbat se definováním pomocí rozhraní. Tomu bych rozuměl pouze z organizačního pohledu (konkrétní IP se mi přesune na jinej ifce, což u mě nelze, a pravidlo je k ničemu).