Olá pessoal gostaria de pedir uma ajuda.
Tenho percebido que mesmo com a regra de bloqueio no nat , tenho percebido que alguns cliente tinha um alto tráfego em seu login e resolvi com a seguinte regra:
add action=drop chain=forward comment=Range de ip do Pool Bloqueado disabled=no \
dst-address=10.201.0.2-10.201.63.254 src-address=0.0.0.0/0
Com esta regra consegui bloquear qualquer acesso ou tráfego de clientes que estão no pool de bloqueio , mas não é possível mostrar a pagina de corte que está no ip do mkauth, ou seja o acesso ao ip 172.31.255.2 para ver a pagina de corte não é possível pois também é dropado o acesso.
Gostaria de uma ajuda pra nesta regra liberar apenas o acesso ao ip do mkauth para que a pagina de corte seja exibida.
fico grato.
Respostas
problema agora é o https, os browsers novos verificam o certifcado antes mesmo de abrir o site, no fórum internacional do mikrotik tem muita gente procurando uma solução...
/ip firewall filter
add action=drop chain=forward dst-port=!53 protocol=udp comment="CORTE" src-address-list=pgcorte
add action=drop chain=forward dst-port=!80 protocol=tcp comment="CORTE" src-address-list=pgcorte
add action=drop chain=forward dst-port=!85 protocol=tcp comment="CORTE" src-address-list=pgcorte
Que bom João, eu aqui tinha de tudo, watsup, torrent, viruz, rede entre computadores na rede, tudo isso nos logins que estavam bloqueados então percebia um alto trafego destes clientes, acho que agora deve bloquear qualquer trafego vindos deste pool e assim garantir que estes clientes não acessem nada a não ser o ip do mkauth pra ver o pgcorte ou central do cliente.
Permaneço testando e observando tais cliente.
joao paulo disse:
OLA BOA NOITE
ESTAVA COMO MESMO PROBLEMA AQUI
COM A SUA REGRA ACABOU O CONSUMO
PARABÉNS RESOLVEU O PROBLEMA.
ATT JOAO PAULO (MICROCONET)
eu fiz alguns testes por aqui e cheguei a um simples filter e ta dando certo quem quiser testar pode colocar isso:
/ip firewall filter
add action=drop chain=forward comment="Bloqueio de trafego para Pool bloqueado" disabled=no dst-address=10.201.0.2-10.201.63.254 src-address=!172.31.255.2
Claro que deve ser mudado o que esta em negreto pra o range de seu pool de bloqueio, desta forma acaba o trafego geral do cliente que estiver neste pool liberando apenas o acesso ao ip do mkauth para ser exibido a pagina de corte bem como acesso pra tirar 2ª via do boleto entre outros.
A ideia é bloquear , watsup, torrents, virus entre outros.
Obs: Esta regra é um adicional à regra atual já usada no nat.