Как локальной сети запретить доступ в интернет?

Question

[therealman™]

Здравствуйте.
Есть две локальные сети (bridge1 и bridge2). Как второй сети запретить доступ в интернет? Обе сети должны быть доступны друг из друга.

Answer 1

[Dimonchik]

из NAT выкинуть проброс для bridge2

Comments

[Strabbo]

Не знаю как в микротике, но у других вендоров если пакет не проходит НАТ, то он будет отправлен дальше по таблице маршрутизаци, а это скорее всего будет дефолт к провайдеру. Интернета в таком случае не будет, но зачем провайдеру посылать такие пакеты?) У микротика такая же схема или он по другому работает?

[Руслан Федосеев]

фаервол в микротике уже отменили???
Не натить, разрешить для сети bridge2 доступ только к сети bridge1, закрыть все остальное для сети bridge2

И какая разница, на каком роутере это реализовывать?

[therealman™]

Strabbo, все так, тогда клиенты из bridge2 будут как минимум "стучаться" к DNS.

[therealman™]

Руслан Федосеев, спасибо за идею, хотя она мне не нравится.
Добавил только одно правило:

action=drop chain=forward in-interface=bridge2 out-interface=WAN

[Strabbo]

therealman™, У меня много раз было такое, я всегда делаю так:
1. Создаю Black hole роут на null (drop) - Это три правила на кажду private сеть 10.0.0.0/8 и так далее. В микротике можно сделать адрес лист засунуть все три сети туда и обойтись одним правилом.
2. Запретить всем private сетям доступ На WAN интерфейс, можно использовать адрес лист из первого пункта.
3. Кому в интернет не надо просто достаете их из NAT.
В таком случае левые пакеты не будут идти к провайдеру, и в будущем не надо будет каждый раз создавать новое правило, если повторится такая ситуация. На всех роутерах, которые подключены к провайдеру у меня такая схема.

[theurs]

Strabbo, у других это у каких, кто кроме микротика позволяет делать хоть что то кроме самого банального ната в одну локалку?

[Strabbo]

theurs, juniper, huawei enterprise router, cisco и много других

Answer 2

[АртемЪ]

На файерволе роутера который служит шлюзом по умолчанию создать запрещающее правило.

Comments

[therealman™]

Спасибо! Но это как-то негуманно, дропать пакеты, которые идут благодаря дефолтному маршруту.

[Максим Корнеев]

therealman™, в дефолтный маршрут попадает никому не нужный трафик - нужный ходит по явным маршрутам. что не гуманного дропать не нужный трафик? ;)

[АртемЪ]

therealman™, Что значит негуманно в контексте маршрутизации?
Вам жалко пакеты, которые злой маршрутизатор уничтожит?

Answer 3

[Максим Корнеев]

для второй сети прописать только маршрут в первую.