How to set up nat between two bridges on mikrotik?

Question

Computer networks

Доброе время суток,
Есть Mikrotik с 2-мя Bridge с в которых находятся сети, LAN и Video, с одинаковой адресацией 192.168.2.1/24
Нужно сделать так что бы трафик из Video не мог из нее выбраться, но из LAN можно было по 80 порту попадать на DVR в сети Video.

Answer 1

в итоге я поднял meta роутер на своем mikrotik настроил там сеть и соединил их как два независимых устройства

Answer 2

А просто добавить запрещающее правило в фаерволе по именам интерфейсов?

Answer 3

Если адресация одинаковая, то никак. Нет механизма, чтобы сказать что надо стучаться на ip 192.168.2.78 сети 1, а не сети 2. Поэтому все подобные маршруты будут распределяться в пределах каждой подсети, не проходя между бриджами.
Если нужен доступ на конкретные ip второй подсети, которых нет в первой подсети, необходимо это явно прописать в ip->route.

Answer 4

Если сети физически разделены и связаны только через микротик на разных интерфейсах, то используйте netmap в nat и придумайте фейковые сети для существующих. Например при обращении к адресу 192.168.102.5 с интерфейса ethet1, будет произведена трансляция в адрес 192.168.2.5 и пакет отправлен в ether2 и по аналогии при запросе к 192.168.202.5 с интерфейса ether2, произойдет трансляция в 192.168.2.5 на ethet1.

Answer 5

если сети одинаковые, то вам без VRF не обойтись иначе вы получаете проблему с маршрутизацией уже на connected маршрутах.
вам необходимо как минимум один из интерфейсов поместить в VRF и настроить route leaks (утечка маршрута).
Это единственный возможный способ работать с одинаковыми сетями в пределах одного маршрутизатора и не важно кто производитель и какая ОС на нём стоит. если есть две пересекающиеся сети - значит сразу VRF

Answer 6

Есть Mikrotik с 2-мя Bridge с в которых находятся сети, LAN и Video, с одинаковой адресацией 192.168.2.1/24
Нужно сделать так что бы трафик из Video не мог из нее выбраться, но из LAN можно было по 80 порту попадать на DVR в сети Video.

Хотелось бы увидеть конфигурацию.
Но допустим у вас два bridge, один из них будет работать через CPU.
Можно было бы очень просто настроить роутинг между ними, но у вас одинаковая адресация.
Я бы конечно очень сильно советовал сменить на другое, особенно там где dhcp, это было бы проще.
Если вдруг это невозможно, то вам для хождение из одной сети в другоую надо использовать netmap.
Вот пример, что есть два офиса:
1 офис
/ip firewall nat
add action=netmap chain=srcnat dst-address=192.168.2.0/24 src-address=192.168.0.0/24\
to-addresses=192.168.1.0/24
add action=netmap chain=dstnat dst-address=192.168.1.0/24 src-address=192.168.2.0/24\
to-addresses=192.168.0.0/24
2 офис
/ip firewall nat
add action=netmap chain=srcnat dst-address=192.168.1.0/24 src-address=192.168.0.0/24\
to-addresses=192.168.2.0/24
add action=netmap chain=dstnat dst-address= 192.168.2.0/24 src-address=192.168.1.0/24\
to-addresses=192.168.0.0/24
Now we go from office-1 to office-2 at addresses 192.168.2.x, and from office-2 to office- 1 at addresses 192.168.1.x
Alas, there is no other way, miracles do not happen.