Как настроить белый список MAC-адресов на MikroTik при использовании сторонней Mesh-системы (Xiaomi) в режиме репитера?
Друзья, всем привет! Меня зовут Павел, я стажируюсь на должности Администратор СУС/WMS на складе крупного дистрибьютора.
Контекст ситуации:
На складе развернута сеть на оборудовании MikroTik с точками доступа cAP. Металлические стеллажи и товар сильно экранируют сигнал, поэтому в некоторых зонах мезонина (важных для отбора) Wi-Fi не хватает. Бюджета на закупку дополнительных cAP не было, поэтому мы временно внедрили Mesh-систему Xiaomi AC1200 (2 кубика). Систему подключили по проводу к тому же MikroTik и перевели в режим репитера (точки доступа). Результат нас устроил, планируем докупить еще 3 кубика.
Задача:
Мы хотим ограничить доступ сборщиков к корпоративной сети. План такой: прописать в MikroTik белый список MAC-адресов только для ТСД (терминалов сбора данных) и устройств администрации. Для всех остальных (личные телефоны сотрудников) сделать отдельную гостевую сеть через Xiaomi.
Проблема:
У меня нет доступа в WinBox/Web-интерфейс MikroTik, а региональный IT-специалист находится удаленно. Я готовлю для него список MAC-адресов нужных устройств, но хочу понимать техническую часть, чтобы корректно поставить задачу.
Вопрос:
1. Как будет работать ограничение по белому списку MAC-адресов в MikroTik, если часть трафика проходит через Mesh-систему Xiaomi?
2. Нужно ли вносить в белый список MAC-адреса самой Mesh-системы (кубиков), учитывая, что она подключена к MikroTik по проводу (как репитер/точка доступа)?
3. Не будет ли конфликтов, если Mesh-система раздает свой SSID, а MikroTik фильтрует трафик?
4. Если есть какие-либо еще подводные камни в этом русле, буду рад услышать ответ, рассуждения, советы на данную тему.
5. Нужно-ли вносить MAC, гостевого Xiaomi и как в целом настроить чтобы родитель его не блокировал.
6. Если я противоречу сам себе поправьте меня пожалуйста, т.к из всего прочитанного объема информации из источников я так и не понял как происходит ограничение сети при активации этого белого списка. Режется по WI-fi или кабелю, будет ли резать обмен с кубиком гостевым поясните ?
Заранее извиняюсь, если где-то был неточен или задаю очевидный вопрос. Не судите строго, я только учусь администрированию и построению сетей. Спасибо!
Тут перепутаны два механизма. Whitelist MAC в MikroTik (access-list на wifi-интерфейсе) проверяет только тех, кто ассоциируется с радио самого MikroTik. Кто сел на Xiaomi, через него не проходит: кубик в режиме AP кладёт клиентов в тот же L2 по проводу, и список их просто не видит. Итог: личные телефоны через кубики окажутся в корпоративной сети, а MAC самих кубиков вносить не надо, они ходят по кабелю.
Рабочий вариант через VLAN: кубики в отдельный порт/VLAN, на MikroTik firewall «интернет можно, корпоративные подсети нельзя». Но если ТСД тоже будут сидеть на кубиках, нужна привязка SSID к VLAN, а на Xiaomi в режиме AP её обычно нет, и гостевая сеть там от LAN не изолирует.
Пусть админ подключит тестовый телефон к кубику и выполнит /interface bridge host print: видно, под каким MAC и на каком порту он висит.
p.s. если кубики в режиме роутера с NAT, MikroTik видит только MAC кубика, а не клиентов.
Хлаёми в помойку. Только покупка новые точек и перестановка старых. И никак иначе. SSID на хлаёми и микроте должен быть разным, иначе будут проблемы.
Для ТСД отдельный Vlan, на Firewall сеть этого Vlan строго ограничить до рабочих серверов.
