Сеть внутри сети.

[Сулейман]

Доброго дня.

В связи с нехваткой адресов и желанием скрыть свою сеть, создал внутри уже существующей сети 192.168.1.1-192.168.1.254, свою сеть 192.168.0.1-192.168.0.254

Все работает, только адреса в сети 192.168.0.* иногда присваивает dhcp сервера 192.168.1.254 при этом интернет есть.
Та же ситуация при wifi подключение.

На роутере 192.168.0.1 также работает dhcp сервер, но не всегда присваивается адрес, а ловит с роутера 192.168.1.254

Подскажите, как возможно заблокировать доступ к серверу dhcp роутера 192.168.1.254 ?

[Chupaka]

Здравствуйте. Т.е. новый роутер вы настроили бриджем? А зачем?

[Сулейман]

Новый роутер 192.168.1.165 с настройками по умолчанию

[Chupaka]

Настройки по умолчанию тоже разные бывают. Покажите ваши В Терминале -

Код: Выделить всё

/export hide-sensitive

[Сулейман]

Код: Выделить всё

/export hide-sensitive
# may/20/2021 11:35:06 by RouterOS 6.48.2
# software id = 1S3X-TNTG
#
# model = RBD52G-5HacD2HnD
# serial number = 
/interface bridge
add admin-mac=74:4D:28:4D:28:4D:28 auto-mac=no comment=defconf name=bridge
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
    country=japan disabled=no distance=indoors frequency=auto installation=\
    indoor mode=ap-bridge ssid=G.I. wireless-protocol=802.11 wps-mode=disabled
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40/80mhz-XXXX \
    country=japan disabled=no distance=indoors frequency=auto installation=\
    indoor mode=ap-bridge ssid=G.I.5 wireless-protocol=802.11
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk eap-methods="" mode=\
    dynamic-keys supplicant-identity=MikroTik
/ip pool
add name=dhcp ranges=192.168.0.100-192.168.0.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/user group
set full policy="local,telnet,ssh,ftp,reboot,read,write,policy,test,winbox,passw\
    ord,web,sniff,sensitive,api,romon,dude,tikapp"
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=wlan1
add bridge=bridge comment=defconf interface=wlan2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.0.1/24 comment=defconf interface=bridge network=192.168.0.0
add address=192.168.1.165/24 interface=ether1 network=192.168.1.0
/ip dhcp-client
add comment=defconf interface=ether1
/ip dhcp-server network
add address=192.168.0.0/24 comment=defconf gateway=192.168.0.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=91.239.100.100,89.233.43.71
/ip dns static
add address=192.168.0.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="drop all not coming from LAN" disabled=yes \
    in-interface=!bridge
add action=drop chain=forward comment="defconf: drop invalid" connection-state=\
    invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" \
    connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=\
    out,none out-interface-list=WAN
/ip route
add distance=1 gateway=192.168.1.254
/system clock
set time-zone-name=Europe/Kiev
/system identity
set name=G.I.
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

[Корпич]

Что то Вы на мудрили с сетью.
На рисунке указана перемычка между портами. Я правильно понял этот рисунок? Если так то поясните весь глобальный смысл Ваших действий.
Что бы изолировать сеть нужно использовать устройство как роутер. Что бы объединить сети нужно использовать устройство как бридж. В микротике все это делается настройкой, зачем замыкать порты?

[Сулейман]

Основная сети 192.168.1.1-192.168.1.254

Пару адресов осталось в запасе.

Мне необходимо расширить диапазон устройств, посему сделал еще одну 192.168.0.1-192.168.0.254

То есть на одном проводе две подсети.


Как на рисунке, соответствует действительности и все работает.

Единственная проблема, это при подключение устройств к 192.168.0.1 практически всегда выдает адрес dhcp сервера 192.168.1.254

А мне надо, чтобы при подключение к wifi 192.168.0.1 выдавало адрес dhcp 192.168.0.1

[Chupaka]

Всё верно, у вас порты 2-5 и wifi все в одном бридже. На этом бридже новый DHCP-сервер, который получился в той же сети, что и старый, поэтому кто быстрее обслужит - тот и молодец, так DHCP изначально и работает.

Отключите DHCP на новом, перенесите на старый роутер адрес 192.168.0.1 и настройки DHCP - и будет вам расширение. Или вообще просто смените на старом сеть с 192.168.1.1/24 на 192.168.1.1/23, поменяйте соответственно настройки DHCP - и будет у вас вообще одна большая сеть.

А уж если изолировать надо подсети физически - в новом роутере доставайте провод из третьего порта, втыкайте в первый, удаляйте правило masquerade, лишние правила firewall filter (блокирующие доступ "извне", ну или все вообще), прописывайте на старом роутере маршрут к 192.168.0.0/24 через новый роутер - и будет вам счастье

[Сулейман]

192.168.1.1/23 где возможно почитать о /23 - /24

[Chupaka]

Маска подсети