Филтър на трафик от bridge

[ziigmund]

Здравейте! Имам един hAp lite, на който съм сетнал всички ланове в бридж и искам да приложа правило за дроп на определен порт излизащ от въпросния бридж. Възможно ли е без нат? Мислех ,че е достатъчно да задам "use ip firewall" в настройките на бриджа, но явно не е така. Филтър в бридж не ми върши работа, защото немога да определям портовете там. Ще съм много благодарен ако някой ми помогне да реша този проблем.

[JohnTRIVOLTA]

преди 1 минута, ziigmund написа:

Закова го! Много , много благодаря JohnTRIVOLTA !!!!

Моля . Да борда ти има отделен суич чип просто, та му казахме да не го ползва един вид !

[111111]

Преди 6 часа, ziigmund написа:

С същата версия на фърмуера ли ? И същата ли е постановката, всички портове в бридж, а гейта е рутер след бриджа?

поради липса на суич преди Powerline имам един 951 който е бриджосан
порт 1 ми е към Powerline порт 4 е към един "флудещ" стриимър

Nямам търпение микротик да изкарат Powerline сериите

Преди 1 час, JohnTRIVOLTA написа:

Махни чавките за хардуерен офлоуд на портовете и правилото ще заработи - най вероятно са чекнати!

с и без чавките работи 

 

/interface bridge
add igmp-snooping=yes name=bridge1
/interface ethernet
set [ find default-name=ether1 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
set [ find default-name=ether2 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
set [ find default-name=ether3 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
set [ find default-name=ether4 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
set [ find default-name=ether5 ] advertise=10M-half,10M-full,100M-half,100M-full,1000M-half,1000M-full
/interface bridge port
add bridge=bridge1 interface=ether5
add bridge=bridge1 interface=ether4
add bridge=bridge1 interface=ether3
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=ether1
/interface bridge settings
set use-ip-firewall=yes use-ip-firewall-for-pppoe=yes use-ip-firewall-for-vlan=yes

 

[JohnTRIVOLTA]

преди 5 минути, 111111 написа:

поради липса на суич преди Powerline имам един 951 който е бриджосан
порт 1 ми е към Powerline порт 4 е към един "флудещ" стриимър

Nямам търпение микротик да изкарат Powerline сериите

със и без чавките работи 

Работи ако е суича в ЦПУто инак не !

[111111]

Вече няма суич всичко е в бриджа,

обединиха го преди няколко версии.

[JohnTRIVOLTA]

преди 2 минути, 111111 написа:

Вече няма суич всичко е в бриджа,

обединиха го преди няколко версии.

Да софтуерно за да не ръчкаш суич менюто , а да се случва автоматично ползването на суич чипчето а не ЦПУто - за това му викат и хардуерен офлоуд, че не ползва процесора, а като не го ползва респективно няма как и да се филтрира!

[111111]

като се прибера ще го пробвам и така:

/interface bridge filter
add action=accept chain=forward dst-port=1234 ip-protocol=udp mac-protocol=ip src-address=0.0.0.0/0

Но на дали ще има разлика от горния вариант.

[111111]

за работене работи но за процесорно време не го препоръчвам
в RAW товара е 4-6% /19 мегабита UDP multicast мукс 1  /

обаче в бриджа скромните 18-26%

и най интересното със спрени филтри товара е 14-20%

[JohnTRIVOLTA]

Еми едно е да се чете само пакет, друго е целият фрейм 

Редактирано 23 Ноември, 2018 от JohnTRIVOLTA