IP+MAC

[sherwood]

подскажите как заблокировать на определенном интерфейсе все MAC
кроме определенных?
то есть хочу сделать привязку к порту определенных IP+MAC, как ACL в управляемых свичах.
и где можно посмотреть в RB 433AH какие MACи ходят через интерфейсы...
NATа на RB433AH нет...

[KirillTs]

Добавляем разрешенные привязки MAC+IP:
/ip arp add address=123.123.123.2 interface=ether1 mac-address=00:00:00:00:00:00:00

Запрещаем интерфейсу отвечать, создавая динамические связки MAC+IP:
/interface ethernet set ether1 arp=reply-only

А MAC'и в ARP таблице есесьно =) ip arp

[sherwood]

спасибо, попробую с правилами..
в консоль (да и в Winbox) посмотрел ip arp print но там всего одна связка моего IP...
или я опять что то не понял....мне нужно посмотреть какие IP+MAC бегают на интерфейсах,
что бы потом сделать правила...
забыл сказать, что все интерфейсы находятся в бридже, может с этим связано?
в бридж-хост вижу МАСи и на каких интерфейсах ходят, но нет IP...

[Igoras]

Бридж это ниже чем IP, это Ethernet, поэтому в ARP ничего и не будет. Надо блочить где-то в bridge-firewall...

[sherwood]

Бридж это ниже чем IP, это Ethernet, поэтому в ARP ничего и не будет. Надо блочить где-то в bridge-firewall...

да наверное заблочить как раз то не проблема...
где посмотреть какие IP+MaC проходят через интерфейс?

[KirillTs]

вроде как тут...
bridge>hosts

Там же есть fiter, думаю надо в фильтре создать правило на drop всего, а потом для каждого разрешенного мака accept по src. mac address

[sherwood]

там я уже был...
там одни MACи с интерфейсами...
конечно вычислить я это могу и по другому, но думал что есть что то штатное...
а разве в Firewall нельзя создать правила, одно которое будет блокировать все,
а другие со связкой IP+MAC?
или это будет очень ресурсоемко?

[Igoras]

как ACL в управляемых свичах.

Интересно, где ж это видано управляемые свитчи 2 уровня с привязкой по IP+MAC?
2 уровень - это MAC, 3 уровень - IP. Другого не дано, и в bridge hosts IP-адреса ну никак увидеть не получится, раз уже они транзитом проходят.

Фильтр в микротике продвинутый, анализирует в пакетах не только Ethernet-header, но и глубже. Поэтому задать правило, разрешающее проходить определенной связке IP+MAC возможно, думаю, оно не сильно будет грузить процессор. Как получить список ип+мак? да проще простого. Запускаем tools -> IP scan, выбираем интерфейс, опционально диапазон сканирования, запускаем и радуемся.

[sherwood]

Интересно, где ж это видано управляемые свитчи 2 уровня с привязкой по IP+MAC?

DES 3526

Как получить список ип+мак? да проще простого. Запускаем tools -> IP scan, выбираем интерфейс, опционально диапазон сканирования, запускаем и радуемся.

спасибо, список получил, но он есть только в бридже, на остальных интерфейсах -0....

[Igoras]

DES 3526

какой-то это уже уровень 2.5 честно говоря. Чистый 2 уровень про ип-адреса не знал и знать не может.

спасибо, список получил, но он есть только в бридже, на остальных интерфейсах -0

Ну так собственно мы знаем через tools ip-scan комбинацию IP+MAC, а через bridge hosts - MAC+Interface, мне подсказать, как из этого можно получить IP+MAC+Interface (с учетом уникальности MAC)? Конечно, это наверное не очень удобно, но видимо такая особенность реализации.

[sherwood]

Ну так собственно мы знаем через tools ip-scan комбинацию IP+MAC, а через bridge hosts - MAC+Interface, мне подсказать, как из этого можно получить IP+MAC+Interface (с учетом уникальности MAC)? Конечно, это наверное не очень удобно, но видимо такая особенность реализации.

дело было не в том как вообще получить МАС, я их и с биллинга могу списать и с DES 3526...
спрашивал про то есть ли в RB такая функция типа как Connect list где все это отображается...
теперь понял что нет...
всем спасибо, все свободны
только не уходите далеко, есть еще к Вам вопросы...
будем скоро с Вами настраивать эту связку для доступа через RB...