Задать вопрос
Veneomin
@Veneomin
сетевое-администрирование

Почему не работает правило DROP?

Задача: создать белый список IP адресов, которые могут подключатся к моему VPN. На микротике поднят PPTP сервер, к нему логинятся такие же микротики.
Создал adress list в который допавил все ip которым хочу дать доступ. После этого добавил в Firewall -> Filter Rules вот такое правио:
Картинку лучше открыть в новой вкладке
59ce21299ce28422623765.png

А после него вот такое:
Картинку лучше открыть в новой вкладке
59ce21938b325154369656.png

Ну и логика такая - разрешить моему списку, а все ост дропать. Но когда я удаляю из адрес листа чейто IP адрес то клиент дальше работает. Как сделать так, чтобы его больше не пускало?

UPD
[XXX@MikroTik] > /ip firewall export
# sep/29/2017 XX:56:52 by RouterOS X.XX.X
# software id = XXX
#
/ip firewall address-list
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=lXXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
add address=XXX.XXX.XXX.XXX comment=XXX list=dyndns_host
/ip firewall filter
add chain=input comment="Accept VPN" port=1723 protocol=tcp src-address-list=dyndns_host
add chain=forward port=1723 protocol=tcp src-address-list=dyndns_host
add action=drop chain=input port=1723 protocol=tcp
add action=drop chain=forward port=1723 protocol=tcp
  • Вопрос задан
  • 1244 просмотра
4 комментария
Подписаться 1 Простой 4 комментария
Решения вопроса 2
@Belyj
Holy ping
К правилу input drop, ещё нужно forward drop сделать.
Вообще дропать в конце, нужно все пакеты пришедшие на wan интерфейс
З.Ы. Если пользователь к вам уже подключился, то после удаления его из адрес листа, нужно ещё дропнуть его коннект, в ip firewall connections.
Ответ написан
Комментировать
Комментировать
vasilevkirill
@vasilevkirill
Сертифицированный тренер MikroTik TR0417
Покажите полностью без картинок
/ip firewall export
Ответ написан
4 комментария
4 комментария
Пригласить эксперта
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы
Вакансии с Хабр Карьеры
Специалист технической поддержки (работа из офиса г.Казань)
Данафлекс • Казань
от 60 000 ₽
Инженер по системному администрированию
Деловая среда от Сбербанка • Москва
До 209 000 ₽
Эксперт Oracle DBA
Softline • Москва
от 300 000 ₽
Ещё вакансии
Заказы с Хабр Фриланса
Редактирование плагина на WP (дизайн, доп поля)
24 апр. 2024, в 13:01
5000 руб./за проект
Верстка двух страниц
24 апр. 2024, в 13:00
3000 руб./за проект
Нужно написать мини-текст (комментарий) на английском
24 апр. 2024, в 12:47
300 руб./за проект
Ещё заказы