Мост и NAT

Мост локальной сети

Проводные порты, кроме WAN, входят в один мост. DHCP и адрес 192.168.88.1/24 назначаются мосту. На самих ether2–ether5 адресов нет: иначе клиент за портом окажется в другом широковещательном домене, чем Wi‑Fi.

/interface bridge add name=bridge
/interface bridge port add bridge=bridge interface=ether2
/interface bridge port add bridge=bridge interface=ether3
/interface bridge port add bridge=bridge interface=ether4
/interface bridge port add bridge=bridge interface=ether5
/ip address add address=192.168.88.1/24 interface=bridge comment="lan gateway"

ether1 в мост не добавляется. Это внешний порт.

Радио в этот же мост попадает не командой bridge port add, а через datapath.bridge в настройке Wi‑Fi. Повторно класть wifi1 в мост вручную не нужно: появится петля или интерфейс просто не добавится.

Выход в интернет

/ip firewall nat add chain=srcnat action=masquerade out-interface=ether1 comment="lan nat"
/ip firewall filter add chain=forward action=accept connection-state=established,related,untracked
/ip firewall filter add chain=forward action=drop connection-state=invalid
/ip firewall filter add chain=forward action=accept in-interface=bridge out-interface=ether1 comment="staff to wan"
/ip firewall filter add chain=forward action=accept in-interface=bridge-guest out-interface=ether1 comment="guest to wan"
/ip firewall filter add chain=forward action=drop in-interface=bridge-guest out-interface=bridge comment="guest no staff"
/ip firewall filter add chain=forward action=drop in-interface=ether1 comment="wan no init"

Masquerade один, на выход в ether1. Второй NAT «на всякий случай» на мост ломает доступ к локальным адресам.

Последнее правило forward отбрасывает новые соединения снаружи внутрь. Ответы на сессии сотрудников пропускает первое правило по established,related.

Вход на сам маршрутизатор

Winbox и SSH с улицы этой схеме не нужны. Управление остаётся только из офисного моста.

/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24
/ip service set www disabled=yes
/ip service set api disabled=yes
/ip service disable telnet,ftp,www-ssl,api-ssl

Перед отключением www убедитесь, что у вас есть доступ через Winbox или SSH из 192.168.88.0/24. Иначе останется только MAC-доступ с соседнего порта.

Как пакет проходит

1. Ноутбук ассоциируется с wifi1 и через datapath оказывается в bridge.
2. DHCP-сервер на мосту выдаёт адрес, шлюз 192.168.88.1 и DNS 192.168.88.1.
3. Пакет в интернет маршрутизируется на ether1 и прячется за адресом, который выдал провайдер.
4. Гость с wifi-guest сидит в bridge-guest. До 192.168.88.0/24 его режет filter forward, в интернет он выходит тем же masquerade.