Zákaz do internetu z vnitrnich IP

mewriksh

Ma prozbu, mam rozsah adres ve vnitrnim rozsahu priklad 192.168.10.0/24 a potreboval bych nektere z adres zablokovat pro pristup na net ale v lokalce aby bezely, pujde to udelat??? Mam vytvorenou maskaradu. Jeste dopisu presny priklad´: IP 192.168.10.10 nesmi jit do internetu ale musi fungovat po lokalce a IP 192.168.10.20 musi jit do netu i po lokalce. Prosim poradte. Dekuji

hapi

/ip firewall filter add chain=forward out-interface=ether1 src-address=192.168.10.0/24 action=drop

out-interface si doplně podle tvýho interface do netu.

A nebo uprav natovací pravidlo že tam zadáš do src-address ten subnet a zaškrtneš tam to políčko před tim aby tam byl vykřičník. Tim pádem se bude natovat všechno kromě tohodle subnetu

pthv

tohle musis zadat do prikazove radky (napriklad New Terminal) a nebo naklikat ve winboxu. Za WAN si dosad rozhrani, ktere jde do internetu.

ip firewall filter add chain=forward src-address=192.168.10.20 out-interface=WAN action=drop

nebo

ip firewall filter add chain=forward src-address=192.168.10.20 out-interface=WAN action=reject reject-with=icmp-network-unreachable

mewriksh

Mam jeste dotaz, kdyz bych potreboval na tech zakazanych PC do netu povolit jen treba seznam.cz slo by to??? Jen kuli emailu a informacim. Jde to nastavit???

leeonek

Do pravidla můžeš ještě dát upřesnění dst address a dáš tam negaci na adresu seznamu kterou zjistíš pingem. Tím pádem pravidlo bude fungovat na všechno, mimo adresu seznamu. Pokud bys to chtěl udělat na více ip, budeš muset nejdřím accept přímo ty ip a pak bude následovat výše uváděný drop

ajfel

Do pravidla můžeš ještě dát upřesnění dst address a dáš tam negaci na adresu seznamu kterou zjistíš pingem. Tím pádem pravidlo bude fungovat na všechno, mimo adresu seznamu. Pokud bys to chtěl udělat na více ip, budeš muset nejdřím accept přímo ty ip a pak bude následovat výše uváděný drop

a co treba address list se seznamem povolenych serveru a cely ten adreslist negovat v tom jednom pravidle ?

mewriksh

Hih, priznam se ze jsem vas ted moc nepochopil, muzete prosim uvest priklad?? Vyzkousim to a dam vedet....prosim...:-)

ajfel

add action=drop chain=forward comment="" disabled=no src-address-list=zakazane_ip_do_netu dst-address-list=povolene_weby out-interface=wan

a k tomu address listy:

ip co nemaji jit do netu

add address=192.168.10.20 comment=User_IP disabled=no list=zakazane_ip_do_netu

ip webserveru, ktere maji jit zobrazit

add address=ip_adresa_www.seznam.cz comment= disabled=no list=povolene_weby

ajfel

Funguje to, vyzkousel jsem to, problem je, za stejne spousta webu ma v sobe odkaz na nejakou statistiku nebo nejake sledovani nekde jinde, diky kteremu to bude dlouho trvat, nez se ti ta stranka zobrazi, leda bys to pozkousel a pridal tam i ip tech veci, ktere si ty stranky vyvolaji sami, treba seznam.cz chce neco po serveri 1.im.cz, hit.gemius.pl a mozna i dalsi, nevim nezkoumal jsem podrobne

mewriksh

Tak asi nekde delam chybu ale nevim kde proste mi to neleze ani si nepingnu...

mewriksh

Hih, tak to je zajimyvy, kdyz to udelam jak pises tak kdyz dam do adrs

add action=drop chain=forward comment="" disabled=no src-address-list=zakazane_ip_do_netu dst-address-list=povolene_weby out-interface=wan

a k tomu address listy:

ip co nemaji jit do netu

add address=192.168.10.20 comment=User_IP disabled=no list=zakazane_ip_do_netu

ip webserveru, ktere maji jit zobrazit

add address=ip_adresa_www.seznam.cz comment= disabled=no list=povolene_weby

Tak kdyz to udelam jak pises a zadam do adress listu ip ktere maji byt pristune, tak jedina ta se mi zakaze a vse ostatni bezi...opravdu to nechapu...

MK verze 3.11 na PC.

Fakt nemam tuseni kde muzu delat chybu....

ajfel

Hih, tak to je zajimyvy, kdyz to udelam jak pises tak kdyz dam do adrsadd action=drop chain=forward comment="" disabled=no src-address-list=zakazane_ip_do_netu dst-address-list=povolene_weby out-interface=wan

a k tomu address listy:

ip co nemaji jit do netu

add address=192.168.10.20 comment=User_IP disabled=no list=zakazane_ip_do_netu

ip webserveru, ktere maji jit zobrazit

add address=ip_adresa_www.seznam.cz comment= disabled=no list=povolene_weby

Tak kdyz to udelam jak pises a zadam do adress listu ip ktere maji byt pristune, tak jedina ta se mi zakaze a vse ostatni bezi...opravdu to nechapu...

MK verze 3.11 na PC.

Fakt nemam tuseni kde muzu delat chybu....

OPRAVA:

add action=drop chain=forward comment="" disabled=no dst-address-list=!povolene_weby out-interface=wan src-address-list=zakazane_ip_do_netu

mewriksh

Hih, tak to je zajimyvy, kdyz to udelam jak pises tak kdyz dam do adrsadd action=drop chain=forward comment="" disabled=no src-address-list=zakazane_ip_do_netu dst-address-list=povolene_weby out-interface=wan

a k tomu address listy:

ip co nemaji jit do netu

add address=192.168.10.20 comment=User_IP disabled=no list=zakazane_ip_do_netu

ip webserveru, ktere maji jit zobrazit

add address=ip_adresa_www.seznam.cz comment= disabled=no list=povolene_weby

Tak kdyz to udelam jak pises a zadam do adress listu ip ktere maji byt pristune, tak jedina ta se mi zakaze a vse ostatni bezi...opravdu to nechapu...

MK verze 3.11 na PC.

Fakt nemam tuseni kde muzu delat chybu....

OPRAVA:

add action=drop chain=forward comment="" disabled=no dst-address-list=!povolene_weby out-interface=wan src-address-list=zakazane_ip_do_netu

Jak tak na to koukam taky se mi zda ze je to uplne stejny.

Prosim mrkni se jeste na to.

Dik

ajfel

Neni to stejne, u dst-addresslist je navic vykricnik

mewriksh

Tak uz jsem na to prisel, sorry...:-) Ale i pres to mam problem, ping mi proleze O.K. ale stranka se nenacte, vcem by mohl byt jeste hacek??

ajfel

Zkus pockat, jak jsem psal, ze stranky se leze jeste na jine weby, tak to zdrzuje nacteni webu, protoze ty ostatni jsou zakazane

mewriksh

Zkus pockat, jak jsem psal, ze stranky se leze jeste na jine weby, tak to zdrzuje nacteni webu, protoze ty ostatni jsou zakazane

Kdyz si pingem zjistim IP seznam.cz tak to povolim ale proste cekam a cekam a nic...

Zkousel jsem povolit vlastni FTP a to bylo O.K.

Zkousel jsem i treba dsl.cz a to se mi z pulky nacetlo.¨

Zjistim nejak kam se snazi ten PC dostat, jako na jake IP.

Kdyz bych tam chtel pustim ICQ a nebo Skype, kde zjistim na jakych IP to jede??

Dekuji za inficko....

ajfel

Me to funguje, sice se seznam nacte za hodne dlouho, ale nacte, kam vsude to jde zjistis podle zdrojoveho kodu stranky, kde si najdes vsechny adresy kam to z te stranky potrebuje jit, u seznamu to je treba hit.gemius.pl, 1.im.cz a mozna jeste neco, adresu nemusis prekladat pingem, ale normalne ji dej do adreslistu a ona se sama prelozi, pokud mas na serveru nastavene dns.

ICQ a Skype taky pridej do adreslistu povolenych webu a meli by jet stejne jak ten web

ajfel

pro seznam musis povolit minimalne toto:

# LIST ADDRESS

0 D seznam.cz 77.75.76.3

1 D seznam.cz 77.75.72.3

2 D seznam.cz 77.78.99.21

3 D seznam.cz 77.75.72.72

+ samozrejme jeste DNS server, pokud mas nejaky mimo tvou sit a jde to z pohledu routeru do internetu

mewriksh

A urchlit se to asi neda co???

Jinak uz mi to slape, dekuji za informace.

Další stránka »