Как запретить всем VPN клиентам доступ друг на друга (изолировать)?

Question

[Денис]

Здравствуйте. Подскажите пожалуйста, какие правила в фаерволе на сервере надо прописать, чтобы запретить всем VPN клиентам доступ друг к другу.
Тип VPN: SSTP
Cеть VPN 172.16.16.0/24
При наличии адреса клиента и логина с паролем, любой из этой сети может зайти на другой клиентский микротик.
Желательно сделать так, чтобы инет не отвалился при этом.
Сам сервер находится в облаке (CHR)
Адреса назначаются из пула, или вручную в сикретах.
UPD. Спасибо за поправку, я думал локальная сеть и доступ друг на друга это одно и тоже. А по сути надо изолировать клиентов друг от друга, как я понимаю

Answer 1

[Денис]

Правильно сформулировал вопрос и нашел ответ. Это сработало. Ничего даже не отвалилось :)
Источник: https://qna.habr.com/q/966407

/ip route rule
add action=unreachable comment="Block VPN Client-to-Client access" dst-address=192.168.100.0/24 src-address=192.168.100.0/24

Очевидно адреса поменял на свои.

Answer 2

[CityCat4]

Начать надо с того, какой тип VPN и как назначаются адреса его клиентам. В микротике сто тыщ разных VPN поддерживается, еслиф че.

Comments

[Денис]

исправил и дополнил. тип sstp. Адреса из пула или вручную
Local address 172.16.16.1 Remote address 172.16.16.X (и так каждому сикрету)

[Дмитрий]

Денис, клиенты уже в сети, доступ к которой вы хотите запретить. Выделите для клиентов другую подсети и тогда сможете по-человечески разграничить доступ.

[Денис]

Дмитрий, не понял, чем принципиально поможет если я для клиентов новую сеть сделаю? ну сядут они на другую сеть, и снова получат доступ друг к другу. Или мне для каждого клиента свою сеть создавать?
Вроде есть правила для фаервола по типу allppp , но я не знаю как правильно ими воспользоваться

[MaxKozlov]

Денис, "доступ друг к другу." 'это не то же самое что "доступ в локальную сеть"
Вы уж как-нибудь определитесь и сформулируйте, что вам на самом деле надо

[Денис]

MaxKozlov, хм, видимо меня не правильно поняли. Да, доступ друг к другу. Я почему-то думал что это одно и тоже

[res2001]

Денис,

Я почему-то думал что это одно и тоже

Это и есть по сути одно и то же, за тем исключением, что ВПН - это "виртуальная локальная сеть", а не физическая.

[Денис]

res2001, ага, это понятно, просто видимо я не правильно мысль донес :)