主页 / computer / 问题 / 1859889
Accepted
user149408
Asked: 2024-10-26 07:06:38 +0800 CST

在 MikroTik RouterOS 中保持桥接与操作系统隔离

  • 772

我正在设置一个 MikroTik cAP，将其配置为多租户接入点。LAN 接口是 VLAN 中继接口。对于每个租户以及管理 LAN，我都配置了一个专用网桥。网桥上的端口是 ether1 上的 VLAN 和每个频带的虚拟无线接口。只有管理 LAN 的网桥配置了 IP 地址，其他网桥没有配置，因此无法通过 IP 从租户网络访问 cAP。（MAC 服务器也已关闭。）

配置管理网络和一个租户后，我在 IP 连接列表中看到了来自该租户的广播流量（/ip firewall connection print，或 WebFig 中的等效项）。在我看来，这就像系统将它们传递到自己的 IP 协议栈一样——我想避免这种情况，以尽量减少攻击面。

如何配置网桥，使其只传输流量，而不将其传递到本地 IP 堆栈？

security

1 个回答

  1. Best Answer

    我最初的建议是完全移除这些专用网桥和 VLAN 接口，并用单个vlan-filtering=yes网桥取而代之。管理 VLAN 通过网桥的pvid=参数设置，而无线接口具有vlan-mode=use-tag vlan-id=XXX参数，物理以太网端口应通过 定义所有这些 VLAN /interface/bridge/vlan。

    我相信这是通常推荐的配置，但在您的情况下，它还会导致路由器的网络堆栈一次只能看到一个 VLAN – 只有与网桥匹配的帧pvid才会通过“自身端口”到达。

    或者：/ip/firewall丢弃来自 的所有传入数据包in-interface=!my-mgmt-bridge。对 重复上述操作/ipv6/firewall。

    （鉴于接口没有 IPv4 地址，我不知道为什么filter chain=input您会在 IPv4 中看到这些 conntrack 条目……但由于每个接口在 IPv6 中都有一个链路本地地址，所以防火墙过滤无论如何都是必要的，因此不妨对 IPv4 也这样做。在 中丢弃应该足够了，但如果您想更加确定，您也可以在 中这样做raw chain=prerouting。）

    相关：确保通过这些接口禁用 MAC-Telnet 和 MAC-Winbox /tool/mac-server- 这本身就是一种风险，也可能是 RouterOS 仍然在这些接口上处理 IP 广播的原因。

    或许还有另一种选择：/ip/vrf将所有这些接口放在单独的 VRF 中，以实现 L3 隔离。大多数 RouterOS 服务默认配置为仅在“主”VRF 上可用。

    • 1

相关问题