MikroTik路由器：如何禁止一台PC上网？

2

我已将2台PC（PC-1和PC-2）连接到我的MikroTik hEX（RB750Gr3）。

我想不允许仅为PC-2 访问互联网（PC-1和其他连接设备应该可以访问互联网）。

但我希望能够从PC-1连接到PC-2，反之亦然（例如：在PC-2上运行一些服务器，我希望从PC-1可以访问该服务器）。换句话说：对于PC-2，仅允许访问LAN。这该怎么做？

谢谢你的回答。

router internet firewall lan mikrotik-routeros

— 卢卡斯
source

嗨，你有没有能够检查答案标记为接受？

— Efren

当然，完成了。

— Lukas

3

这几乎可以直接转换为防火墙规则：

/ip firewall filter {

允许从PC-2到LAN：

add chain=forward src-address=<PC2_IP> dst-address=<LAN_SUBNET> action=accept

否认从PC-2到其他地方：

add chain=forward src-address=<PC2_IP> action=reject

哪个也可以组合：

拒绝从PC到非 -LAN：

add chain=forward src-address=<PC2_IP> dst-address=!<LAN_SUBNET> action=reject

}

此处<LAN_SUBNET>应该是您要允许的前缀，例如192.168.88.0/24IPv4规则或2001:db8:abcd:0::/64IPv6。

规则检查从上到下进行，直到第一次匹配为止，因此请确保规则在“允许已建立”之后但在任何“允许所有内容”规则之前进行。

注意：在同一子网内，始终允许访问，因为通信仅通过内置交换机，并且不会到达操作系统。（尽管RouterOS允许在必要时覆盖 - 在/interface ethernet switch rule，您可以找到将数据包从PC-2重定向到操作系统的选项。但是，通常最好假设子网内流量未经过滤。）

— grawity
source

对不起，迟到的回复，效果很好。谢谢。

— Lukas

3

除了@grawity所说的，确保PC-2的DHCP租约是静态的。您还必须确定威胁级别。如果技术熟练的人使用PC-2，那么您将需要阻止路由器从广播中自动添加ARP，并将DHCP服务器设置为Add ARP for leases。这将阻止他们使用静态IP绕过。

现在我考虑一下，更简单的解决方案就是根据MAC地址进行过滤：

/ip firewall filter add chain=forward src-mac-address=XX:XX:XX:XX:XX:XX dst-address=!X.X.X.X/XX action=reject

— 邓肯X辛普森
source

我喜欢基于MAC地址的解决方案。谢谢你的回答！我很感激。

— Lukas 2017年

1

基于MAC地址的过滤也可以由技术熟练的用户容易地绕过。

— bcs78 '18年

@ bcs78这是真的; 这只会让它变得更难。在我知道如何欺骗MAC之前，我知道如何设置静态。

— 邓肯X辛普森