gfx wrote:
可以的，若只是89.0/24的裝置要透過nas_ddns映射連接至nas，
複製嚴謹in-interface=bridge的這個映射設定，只要把in-interface換成vlan200即可。
好的,再多一條for vlan200的,就雙線路可以映射了~感謝g大。
gfx wrote:
但若是vlan20，透過固6連接nas...
除了in-interface需設置成vlan20，dst-address也得填固6_ip。
更重要的，mangle需做固6與nas相關的策略(這部份您目前未設置)。
讓從固6進來的連線，也從固6回去；而非nas目前使用的pppoe-out1送出。
若從pppoe-out1送出原本該回固6的封包，這連線將會丟包。
如圖片↓所示,除了改成vlan20,dst-address也還要再填入固6_IP
是不是在mangle prerouting做標記連線,然後在firewall 調用那個已標記的連線做偽裝?
(想法這樣不知道對不對)
隨然目前還用不到vlan20。(vlan20在電腦網卡還需設定固6_IP的,都很怕不安全)
但在目前的網路架構下有一port是用到vlan20(主要連接硬體防火牆用的,防火牆下面有一台電腦),然後硬體防火牆又在NAT一次變192.168.1.0/24那種,然後VPN連到公司去 。
------------------------------------------------------------------------------------------------
gfx wrote:
192.168.88.0/24(bridge)與192.168.89.0/24(vlan200)可互相連結全是因rb5009的關係。
因為他們兩接口閘道192.168.88.1與192.168.89.1全都在rb5009上面。
若您把192.168.88.1與192.168.89.1其中一個ip從rb5009移開，
那這兩個接口就真的完全中斷了。
但88.0/24與89.0/24都得靠rb5009發ip，您把這兩個網段閘道拿掉又很不實際。
所以您需在/ip firewall raw新增封鎖規則：
add action=drop chain=prerouting in-interface=bridge dst-address=192.168.89.0/24
這樣兩接口就無法往來了。
若需要一個例外，如：nas...那就新增：
add action=accept chain=prerouting src-address=192.168.88.100 dst-address=192.168.89.0/24
再把這個新增的項目擺在封鎖之前，這樣封鎖就影響不到nas(192.168.88.100)了。
這邊也感謝gfx大,提供隔離的方法與設定例外,再次的感恩。
是不是用Routeros系統的都可以通, 類似設定要連線不同網域的閘道IP與閘道下的電腦,然後在互設這樣?
gfx wrote:
NTP Client更新慢的問題，用v7我並無發生。但要解決應該很容易。
以clock.hinet.net為例：
透過nslookup解析分別可得202.39.161.99與168.95.195.12
...........
......等
好的,也來增設上去, 本來想說waiting 一下子就好,沒想到等了近2天才更新上
gfx wrote:
固6需標明pref-source，否則Router會不清楚用那個ip連結ntp伺服器。
好,剛好前面g大有提及pref-source的意思,剛好在這邊教學用上~ 讓我更明白了。
因為不太清楚以上三條的用意,是否是要先定義路線可以走的路線。
