Как на MikroTik закрыть доступ к NAS для одного компьютера?

Question

[Abrikosik]

Здравствуйте. Имеется локальная сеть 192.168.1.0/24, в которой присутствует NAS хранилище с установленным на нем IP адресом 192.168.1.100, необходимо закрыть доступ к этому хранилищу одному компьютеру с IP адресом 192.168.1.35 (постоянный адрес выдается dhcp сервером MikroTik). Иду в IP->Firewall->Filter Rules и добавляю правило chain: forward, Src. Address: 192.168.1.35, Dst. Address: 192.168.1.100, ну и Action: Drop, подымаю правило выше всех остальных, но все равно компьютер спокойно заходит и на web-морду NAS (http:// 192.168.1.100) и открывается в проводнике Windows (\\192.168.1.100), что я делаю не так?=)

Comments

[Valentin Barbolin]

Fasttrack включен?

[Abrikosik]

Andrey Barbolin, Нет, не включен

[Valentin Barbolin]

Abrikosik, Клиенты подключены напрямую в микротик или есть промежуточные коммутаторы?

[Abrikosik]

Andrey Barbolin, По пути есть неуправляемый коммутатор (мыльница).

[Abrikosik]

Andrey Barbolin, Вот в данный момент поднял vpn-сервер на этом МикроТике и подключился из дома к нему (даю себе адрес из этой локальной сети) и имею доступ к локальным ресурсам, в том числе и к этому NAS, создаю правило блокировки к NAS того адреса, что мне дает Микрот по VPN и блокировка работает, правило отрабатывает, счетчики растут, доступ пропадает =)

[Abrikosik]

alexvdem, Так то оно так, но мне уже интересно разобраться почему я на маршрутизаторе не могу его рубануть.

[Дмитрий]

Abrikosik, в одной сети трафик ходит через коммутатор.

[Abrikosik]

Дмитрий, Простите не совсем понял что вы имели ввиду.

[Дмитрий]

Abrikosik, я имею ввиду то, что трафик, который вы хотите ограничивать, не ходит через устройство на котором вы хотите его ограничивать.

[Valentin Barbolin]

Abrikosik, Если 192.168.1.100 и 192.168.1.35 подключены в один коммутатор, то они находятся в одной L2 сети и трафик между ними ходит напрямую минуя ваш микротик.

[Abrikosik]

Andrey Barbolin, Похоже так и есть, железо замуровано в стены, физическую топологию не видно, между ними точно есть пару коммутаторов, но что там как включено черт его знает. Микротом мне не как это не победить без вмешательства в физическую сеть?

[Valentin Barbolin]

Abrikosik, На DHCP сервере можно уменьшить маску для клиента 192.168.1.35, например 26ю маску. Тогда все запросы клиента 192.168.1.35 в сторону 192.168.1.64-255 будут ходить через микротик.

andre@andres-MacBook-Pro ~ % ipcalc 192.168.1.0/26
Address: 192.168.1.0
Netmask: 255.255.255.192 = 26
Wildcard: 0.0.0.63
=>
Network: 192.168.1.0/26
HostMin: 192.168.1.1
HostMax: 192.168.1.62
Broadcast: 192.168.1.63
Hosts/Net: 62

[Талян]

Andrey Barbolin, хорошая мысль)!

[Abrikosik]

Andrey Barbolin, Спасибо, отлично!

Answer 1

[dm7000s]

Всё не так. Файрвол описывает правила входящие с WAN порта. В твоём случае микротик выполняет функцию обычного хаба, внутренние пакеты которого не фильтруются никак.
Настраивай блокировку по IP внутри NAS. Другая тема, если у тебя NAS на конкретном порту микротика висит. Тогда уже оперируй конкретными портами, а с адресами такой фокус не прокатит.