Как запретить доступ ко всем сайтам кроме одного на Mikrotik?

Question

[Евгений Яловой]

День добрый, есть роутер mikrotik rb951G - 2HnD, стоит задача определным машинам запретить доступ в инет, оставив только доступ к одной странице.

Полностью запретить доступ получается, но как добавить, доступ только к одному домену(onedrive.live.com) ?

Спасибо за помощь.

Answer 1

[Александр Романов]

Обновляетесь до 6.36 или выше, добавляете нужный домен onedrive.live.com в адрес-лист. Назовём его onedrive
Добавляете в другой адрес-лист адреса машин, которые хотите ограничить, назовём его restrict
Далее пишем правило в фаерволе:

/ip firewall filter
add chain=forward src-address-list=restrict dst-address-list=!onedrive action=drop

Всё )

Comments

[Евгений Яловой]

Сделал как вы написали, но к Onedrive Доступа нет(

[Александр Романов]

Евгений Яловой: У вас появились динамические записи в адрес-листе, после того как добавили запись с доменом?

[Александр Романов]

Евгений Яловой: Для того, чтобы это корректно рабоало, микротик должен быть днс-сервером для этих машин. Убедитесь, что галка allow remote request в ip-dns стоит, уменьшите cache max ttl до 5 минут. Если по-прежнему сложности, сделайте в нате правило
/ip firewall nat
add chain=dstnat src-address-list=restrict protocol=udp dst-port=53 action=redirect

[Евгений Яловой]

Александр Романов: галка стоит, кэш уменьшил, правило сделал, результат тот же =(

[Александр Романов]

Евгений Яловой: Может, тогда они коннектятся по другим именам/адресам?

[Евгений Яловой]

Александр Романов: нет, конектятся по тому адресу, сам не пойму что может мешать

[Александр Романов]

Евгений Яловой: dst-address-list=!onedrive
Восклицательный знак не забыли?

[Евгений Яловой]

Александр Романов: стоит

[Евгений Яловой]

Александр Романов: могу доступ дать посмотрите, мб где то что то не так сделал

[Евгений Яловой]

Александр Романов: на тачке клиентов пакеты к домену идут, а страница не открывается

Answer 2

[Клёвый Админ]

Создать адрес лист, с IP до этого сайта и добавьте разрешающее правило выше запрещающих.
Если все IP не известны, то добавьте в ДНС парочку статических записей.

Comments

[Евгений Яловой]

Понял, спасибо, пробуем =)