Como funciona o bloco de roteamento Inter VLAN?

Question

Eu tenho VLAN10 para Admin e VLAN20 para Office em diferentes sub-redes. Atualmente eles são roteados automaticamente pelo roteador. Quero que o administrador possa acessar o material do escritório, mas não deseja que o Office possa acessar as informações administrativas.

Eu criei um firewall bloqueando o vlan office para admin. Mas isso me confunde, o admin ainda poderá acessar o escritório? Não deveria ser acordo bilateral? Digamos que a administração inicial seja uma conexão com o escritório, mas o escritório não seja capaz de responder, tecnicamente, o administrador também não pode falar com o escritório.

Estou usando o mikrotik com a seguinte regra /ip firewall filter add chain=forward action=drop in-interface=vlan-20 out-interface=vlan-10 comment="Block Office to Admin"

    

Answer 1

But this confuses me, will admin still be able to access office?

Depende de outras regras presentes na cadeia. Com apenas esta regra, não.

Let's say admin intitiate connection to office but office not able to respond back, technically admin cannot talk to office as well.

Então você precisa permitir apenas respostas nessa direção. Existem duas maneiras para isso ... É mais fácil fazer uso do firewall stateful do RouterOS, que controla quais pacotes pertencem a quais conexões. Adicione uma regra de encaminhamento que permita pacotes pelo seu estado :

connection-state=established,related action=accept

Lembre-se de que as regras de firewall são processadas de cima para baixo, portanto, você precisa prestar atenção ao pedido no qual elas são colocadas. As regras de aceitação específicas só funcionarão se forem colocadas antes da regra de negação geral.