Возможно ли настроить RRAS ip filter между локалками?

Question

[okamigo2010]

Подскажите как можно настроить access list именно с помощью RRAS inbound/outbound filter для подсетей в скриншоте. развернут Win сервер с двумя подсетями и выходом в интернет с помощью RRAS NAT. к серверу подключены 2 машины в разных подсетях. Как сделать так чтобы трафик из сети 2.0 мог ходить в сеть 1.0, а наоборот нет. Пробовал создать правило, но в таком случае маршрутизация между сетями нарушается в обе стороны

Comments

[Максим Гришин]

Какое правило создавали? По идее должно быть достаточно не пускать только TCP SYN и стартовые UDP-пакеты в те стороны, куда нельзя, а маршрутизацию как целое не ломать. Иначе в самом деле ответный SYNACK не пройдет, и всё.

[okamigo2010]

Максим Гришин, в настройках интерфейса 2.0 в input filter в receive all packets except ...., в ачесвте destination network указал сеть 1.0.
Хотя честно не знаю правильно ли сделал или нет?

[Максим Гришин]

okamigo2010, по-моему, неправильно. (Нет перед носом RRAS'a, чтобы проверить, но по описанию этот фильтр не будет пропускать и ответные пакеты на запросы из сети 2.0 в сеть 1.0, а не только стартовые) Посмотрите, есть ли в том фильтре возможность установить флаги TCP-пакетов, которые фильтр должен отсекать, если да, можно фильтровать пакеты, в которых установлен флаг SYN и НЕ установлен флаг ACK - в первом приближении прокатит, но я так понимаю, что RRAS в виндах не был изначально предназначен работать внутренним роутером, а его основной задачей является Dial-In VPN и/или NAT наружу, поэтому ему может и не хватить функционала.

[okamigo2010]

Максим Гришин, в настройках можно выбрать протокол, также Sorce Port и Destination Port


Теперь какие порты выбрать то?
Network policy может помочь в решении данного вопроса и как?