ajuda com vlan!!!

Bom dia pessoal,

Necessito de uma mão em relação ao MK da minha infra-estrutura.

Vamos lá então https://illiweb.com/fa/i/smiles/icon_smile.gif

Tenho uma RB750G, com duas interfaces LANs internas, sendo a primeira faz o nat, DHCP, QoS, DNS para a rede 10.x e a outra faz o mesmo procedimento para o range rede 20.x . Criei duas interfaces internas, justamente para dividir as redes internas da empresa, afim de cada vlan e seus respectivos hosts, fazerem parte de seus domínios de brodcast.

http://i59.tinypic.com/k19ylx.png

Bem, criei duas vlans layer 2 a nível de Switch, no qual segmenta o trafego tanto da rede 10.x quanto da rede 20.x, pois, queria separa os micros computadores da rede 10 (administração) dos demais clientes que se conectariam através de pontos sem fios que fazem parte da rede 20.x. Bom, as vlans foram criadas e estão funcionando, ambas interfaces internas do MK enviam o trafego para suas respectivas portas do switch que estão em cada vlan (Ressalvo novamente, criei vlan a nível de Switch, e não a nível de RB).

O problema que estou enfrentando não é em relação as portas das respectivas vlans do meu Swithc, e sim, com o roteamento que parece que o MK criou entre essas duas redes (10xx e 20.x). Digo isso pois, é possível pingar qualquer micro na rede 10.x estando na rede 20.x (vice-versa). Eu consigo pingar ou seja, o MK está permitindo roteamento entre as interfaces respectivas por cada rede LAN interna. Pergunto, não tem alguma opção interna que eu possa desabilitar esta comunicação entre as interfaces, fazendo com que uma não enxergue ou se comunique com a outra ?

Deste já agradeço pelo espaço!

Faz um drop em ip firewall filter bloqueando os acessos da porta 0-65000 no src-address da faixa 10.x.x.x com dst-address para a faixa 20.x e outra do mesmo jeito só que com src-address da faixa 20.x para dst-address 10.x

Enviado via Moto G (4) usando UnderLinux App

Ou você pode criar uma vlan dentro da interface e lançar o ip nessa vlan.

O mikrotik tem a política padrão de FW entre as redes. Tem que bloquear mesmo caso não queira isso.

Enviado de meu GT-I9070 usando Tapatalk

mais o filtro eu tenho que fazer por faixa de ip ou posso fazer por interface tipo por vlan?

os dois funciona