如何使用 Mikrotik 路由器隔离网络？

Question

我最近为我的网络安装了一个Mikrotik 路由器，我想创建 3 个相互隔离但都可以访问互联网的网络：

1. PC 等的“主”网络。
2. 用于家庭自动化设备/电器的网络。我不希望这些主机能够访问其他网络，但我希望主网络上的某些特定主机能够访问该网络上的特定主机。
3. 访客的访客网络。我希望此网络上的主机只能访问 Internet，并与其他网络完全隔离。

通过遵循这些说明并模仿路由器附带的默认配置，我已经能够使用网桥设置这三个网络。

听起来我现在需要定义防火墙规则来阻止网桥之间的流量，而这正是我需要帮助的地方。我的理解是 Mikrotik 防火墙软件是基于 Linux iptables 的。

1. 似乎有两个地方可以做到这一点： 中的主要防火墙配置/ip firewall filter，以及 中特定于网桥的部分/interface bridge filter。最好使用哪一种？各自的优缺点是什么？

2. 我正在试验桥接过滤器，但我所有的规则旁边都有一个小交通栏图标，这对我来说不太好。我找不到有关图标含义的任何解释。

3. 我应该如何设置规则？为每个桥创建一堆单独的链会更易于管理吗？如果是这样，应该如何组织链条？

4. 听起来我需要为此定义forward规则。是否有任何input或output我需要的规则？

5. 我应该在网桥/接口（即桥内、桥外、WAN 接口等）上设置规则匹配，对吗？例如，要阻止从主网络到家庭自动化网络的数据包，我需要一个类似于 in-bridge=main out-bridge=home_automation action=DROP 的规则，对吗？

Answer 1

实际上，Mikrotik 设备会在网络之间自动进行路由。例如，考虑两个网络 10.0.0.1/16 和 192.168.1.0/24。如果要阻止这两者之间的流量，只需添加两个防火墙规则

ip firewall filter add chain=forward src-address=10.0.0.0/16 dst-address=192.168.1.0/24 action=drop
ip firewall filter add chain=forward src-address=192.168.1.0/24 dst-address=10.0.0.0/16 action=drop

所以你会在两个方向丢包。