RouterOS关于网桥防火墙设置

网大科技CDNAT

RouterOS具有Bridge的桥接功能，在配置多网口的情况下可以实现二层数据的转发，即可以实现交换机功能，加上RouterOS支持birdge filter的过滤，同样也支持对二层数据的管理，通过配置Bridge的防火墙规则实现多网口的端口隔离。

在这里我们通过RB150的操作为实例，配置二层端口隔离。

首先我们在Bridge中添加一个网桥bridge1：

在RouterOS同样支持STP（Spring Tree Protocol）生成树协议，防止二层的回环出现，同样也是支持二层的冗余功能，在这里我们将STP打上勾：

在添加完桥接功能后，需要将对应的网卡添加入bridge1中，进入Port中设置，我们将五个网卡一个一个添加到bridge1中：

添加完每个端口后，现在RB150的5个以太网口，就完成了桥接的设置，这样5个口就实现了二层的交换功能。

现在我们需要让ether1为上联口，即ether1能与ether2、ether3、ether4和ether5进行通信，但ether2、ether3、ether4和ether5之间是被隔离。

我们进入filter中设置防火墙过滤规则，我们首先配置ether2与ether3的数据隔离我们在interface选项中设置In-interface和Out-interface（In-interface为数据进入的网口，Out-interface为数据出去的网口）：

设置好对应的端口后，丢弃他们之间的数据：

因为数据是双向的，上面这条规则是隔离的从ether2到ether3的数据，但无法封闭ether3 到ether2的数据，所以我们还要做一条反方向的规则，即两个口之间需要做两条规则：

整个端口控制组合如下：

Ether2 – Ether3

Ether3 - Ether2

Ether2 – Ether4

Ether4 – Ether2

Ether2 – Ether5

Ether5 – Ether2

Ether3 – Ether4

Ether4 – Ether3

Ether3 – Ether5

Ether5 – Ether3

Ether4 – Ether5

Ether5 – Ether4

这样的配置就实现了让ether1为上联口，即ether1能与ether2、ether3、ether4和ether5进行通信，但ether2、ether3、ether4和ether5之间是被隔离。

通过Bridgefilter的配置，可以实现对各种二层数据链路层的相应数据和协议做控制。

在启用bridge后，Queue和ip firewall filter的规则仍然能启作用，能实现三层数据的过滤和流控，这样RouterOS在设置为Bridge后可以做到三层路由器的功能，只要加以设置和组合。

注：在3.0版本后RouterOS在bridge中增加一个设置选项use ip firewall，该规则是询问数据控制是否经过ip firewall，如果不打勾数据将不再进入ip firewall处理，这样可以加快数据的转发，减少处理过程。增加了系统的灵活性。

西斯斯

很不错的帖子，可以学习一下，谢谢楼主啊。

西斯斯

wp940208

西斯斯

支持支持，谢谢楼主。

也速该

讲的很详细 赞一个

yun1