Как отделить сеть от сети в vlan?

Question

[Максим]

Доброго времени суток!!!
Подскажите куда копать. Есть микротик 2011, есть порт не включенный в бридж, на нем висит vlan. Vlan висит на отдельном бридже, на нем же dhcp с другой подсетью. Комп в vlanе получает адрес и доступ в интернет.
Хочу изолировать vlan от других компов. Что-бы при добавлении на другой порт vlanа, устройства на порту видели его.

Comments

[Дмитрий Шицков]

Хочу изолировать

устройства на порту видели его

Так изолировать или наоборот смаршрутизировать?

[Максим]

Дмитрий Шицков, изолировать от всех остальных. Что бы доступ имел только трафик с тем же вланИд

[fdroid]

Максим, у вас этот влан маршрутизируется в отдельной подсети, я правильно понимаю? Т.е., предположим, отдельный влан в подсети 192.168.0.0/24, а остальная а всё остальное в сети, предположим, в 192.168.33.0/24.
Тогда, на микротике идём IP -> Routes -> Rules или через терминал добавляем правила:

/ip route rule
add src-address=192.168.0.0/24 dst-address=192.168.33.0/24 action=unreachable 
add src-address=192.168.33.0/24 dst-address=192.168.0.0/24 action=unreachable

Ну и комбинируйте в зависимости от ваших потребностей.

[20ivs]

fdroid, выведите коммент в отдельный ответ, чтобы автор мог отметить его решением.

[Максим]

fdroid, походу оно самое)) благодарю :)
Напишите пожалуйста в ответ. Отмечу как решение.

Answer 1

[fdroid]

Предположим, отдельный влан в подсети 192.168.0.0/24, а остальная а всё остальное в сети, предположим, в 192.168.33.0/24.
Тогда, на микротике идём IP -> Routes -> Rules или через терминал добавляем правила:

/ip route rule
add src-address=192.168.0.0/24 dst-address=192.168.33.0/24 action=unreachable 
add src-address=192.168.33.0/24 dst-address=192.168.0.0/24 action=unreachable

Comments

[Exhibits]

А как сделать, чтобы можно было видеть с ПК обе подсети?) Одна физ сеть, другая VLAN. И что означает Action=unreachable ?