Как сделать «Гостевой» порт в микротике?

Question

[Wuzilla]

Всем привет, есть маршрутизатор Mikrotik RouterBOARD 3011UiAS-RM, в него приходит инет, на нем завязана вся локальная сеть, он же разадёт Ip и уходит на свитчи. Надо подключить компьютер через этот маршрутизатор, но что бы он не был в локальной сети, так скажем в "гостевой" сети, хочу что бы был на другом порту. Как можно это реализовать?

Answer 1

[Дмитрий]

Помещаете необходимые порты в отдельный bridge, вешаете на него dhcp сервер и пишете правило src-nat для выхода в интернет.

Comments

[Wuzilla]

На версии 6.42.1 пойдет этот метод, пока еще не дошел на маршрутизатора, слышал просто что изменили некоторые моменты?

[Никита Сизов]

Wuzilla, пойдет. Эти "моменты" не меняли с момента выхода первой версии.

[Ziptar]

Так. И что же помешает микротику маршрутизировать запросы во внутреннюю сеть?

[Дмитрий]

Константин Антонов, правила фаервола видимо

[Ziptar]

Дмитрий, ну так, видимо, это надо было написать? А то вопрошающий выделит "гостевую" сеть в отдельный бридж и на этом остановится, а изолирована она не будет.

Answer 2

[Wuzilla]

Да, надо что бы была изоляция между сетями

Answer 3

[Ивор Барханский]

Для этой задачи вам нужно присвоить нужному порту (мосту, если портов нужно несколько) ip-адрес и выбросить его НАТом в мир.

/ip address
add address=10.1.2.1/24 interface=ether2 network=10.1.2.0 comment="DMZ"
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether2

Настраиваем DHCP на вариант, когда ПК получают настройки только через роутер. Даже если настройки будут вручную прописаны в настройках ПК — это не отразится в ARP-таблицах и такое устройство не будет работать.

/ip dhcp-server
add address-pool=dmz interface=ether2 name=dhcp-dmz add-arp=yes
/ip dhcp-server network
add address=10.1.2.0/24 dns-server=8.8.8.8,8.8.4.4 gateway=10.1.2.1 netmask=24
/ip pool
add name=dmz ranges=10.1.2.2-10.1.2.254
/interface ethernet
set [ find default-name=ether2 ] arp=reply-only

Если нужна железобетонная изоляция сетей, идите в ip→routes→rules

/ip route rule
add action=unreachable dst-address=10.1.1.0/24 src-address=10.1.2.0/24
add action=unreachable dst-address=10.1.2.0/24 src-address=10.1.1.0/24

То же самое можно сделать через ip→firewall→filter, но так железобетоннее, потому что маршруты обрабатываются раньше и дают гарантию, что всё будет заизолировано, даже если в файрволле косяк/дырка.