查看: 407|回复: 0

[RouterOS] Bridge Filter 控制MAC地址

[复制链接]

主题

好友

567

积分

中尉

签到天数: 35 天

[LV.5]常住居民I

发表于 2016-8-27 17:09 |显示全部楼层
Anywlan微信公众号
通过 bridge filter 控制MAC 地址,如当我们把RouterOS设置为透明桥时,可以控制网络内的主机MAC通讯,
这样我们可以从二层上控制客户端PC。
   我们通过bridge 过滤MAC 地址,必须启用bridge,并指定相应网络接口到bridgeport 中,至少需要设定一
个网络接口到Port 中,设置bridge 的操作如下
1、添加一个bridge,默认的bridge 的名称为bridge1,并设置RSTP(快速生成树协议)模式:
) }6 n/ p0 i5 y' h3 I6 U+ Q) s
添加完 bridge后,我们可以在bridge列表中查看到:
6 P* }- W& h+ b$ ^9 d! Q

5 z- {# w/ E7 J4 R) J2 H* j% h
2、 我们将ether1 和wlan1 网络接口添加到bridge1 里,这样2 个网络接口就实现了桥接功能。

; e4 t) `( x% N, }0 V7 x( D3 ~- Z
过滤源和目标MAC 地址
1、源MAC 地址过滤
在设置完基本的bridge 后,我们进入bridge filter 中配置桥防火墙过滤,首先我们需要对指定的一台PC的MAC:00:E2:67:32:B4:81地址做过滤,不允许与bridge的外部网络连接,如下图:

: u0 r5 _4 g  e" A( J

& s6 k; q" _0 ]8 V) {
这个 MAC 是发起源,选择src-mac-address,由于这里拒绝访问bridge以外的网络,选择chain=forward,,设定action=drop。RouterOS Winbox 配置如下:
9 N0 ], w4 }- R3 |% c6 \- U$ b
接下来选择Action 为drop,丢弃该MAC地址发出的数据:

' m" G* C+ u' K9 Z" [8 _" N
# |; g) D; y+ a9 x8 A/ Y1 @# N
注意:我们设置src-mac-address 时,后面跟着MAC 掩码,这个掩码和我们IP层的子网掩码类是,只是MAC掩码是按照十六进制换算,十六进制的FF与IP掩码的255是相同,规定网络范围,因为这里是过滤一个台主机的MAC地址,所以我们设置MAC子网掩码为FF:FF:FF:FF:FF:FF。
2、目标MAC 地址
反过来从外网访问一个该主机,则是目标MAC 过滤,只是之前我们设置的是scr-mac-address,反过来填写目标的MAC,即dst-mac-address,我们还是用之前的MAC 地址做事例

2 J! ]4 d- y+ y2 Q/ f2 D% `
我们添加目标MAC 地址过滤规则,选择dst-mac-address=00:E2:67:32:B4:81,dst-mac-address默认为全FF。
4 Y2 U0 `+ F1 Z1 H% F

' r, v6 f$ o  A7 I# ?
Action同样选择drop,丢弃到该目标MAC 的数据。
下面我们可以在filter 中看到2 条规则,分别是控制从源地址和目标地址的数据,这样设置后,我们可以理解为对00:E2:67:32:B4:81主机数据的双向过滤。

  i+ Z0 O$ Q+ a7 b) q* z
过滤指定厂商的MAC 地址
我们知道所有的网络设备都有一个6 位的MAC地址,前3位为生产厂商标示,后3位为设备编号,当我们在做无线网桥的时候,只允许特定某一厂商的网卡连接到RouterOS,可以通过Bridge的防火墙控制MAC地址,限制某一类的MAC不能连接到RouterOS设备,或者通过RouterOS设备。
例如,我们的一台RouterBOARD 设备要求只能允许其他RouterBOARD的设备连接,可以通过brigdefiter控制,由于每个RouterBOARD的以太网卡MAC地址都是前3位都是以00:0C:42开头,我们只需要允许前3位MAC为00:0C:42的MAC通过就可以。
在设置为bridge 的接口参数后,我们在filter中配置2条input规则,限制除了MAC地址前3位是00:0C:42能连接RouterOS,其他的都拒绝掉。
根据 RouterOS 防火墙原理,分别需要设置两条规则,一条是接受MAC地址前3位是00:0C:42的MAC地址,第二条是丢弃其他所有的MAC数据。
第一条规则,设置src-mac-address=00:0C:42:00:00:00/src-mac-mask=FF:FF:FF:00:00:00
3 x9 S7 ?( y# \8 j, b. X6 P+ }4 s

- {/ T; i7 X8 }0 V# O: e
在 action 中选择accpet 接受,数据通过

: S' m- K2 ^" N- e

2 p. H+ n; u5 S) F* o
第二条规则,是丢弃其他所有的MAC 数据

0 F  W& `2 |  [+ i: y; N2 s
配置完成后,如下:

% ~( g, y, A. X5 e) o
# J4 m5 ^4 V+ l! v) F+ c/ |; a. y
您需要登录后才可以回帖 登录 | 加入

本版积分规则

关闭

站长推荐 上一条 /1 下一条

Archiver| 手机版| 中国无线门户 ( 粤ICP备11076993 )  |网站地图

GMT+8, 2018-1-20 07:23

Powered by Discuz! X3.2

© 2003-2013 广州威思信息科技有限公司

返回顶部 返回列表