接到朋友的要求,需要将公司前台电脑只允许访问公司网站,而不让访问其他网站及qq聊天。
在VMware测试过程中,限制前台电脑访问公司网站折腾了很久,这里提供两种防火墙规则组合。
第一种组合是3条规则:
[admin@MikroTik] /ip firewall address-list> print
Flags: X - disabled, D - dynamic
# LIST ADDRESS
0 company 11.123.234.23
1 company 11.123.234.98
[admin@MikroTik] /ip firewall filter>add chain=forward action=accept protocol=tcp src-address=172.16.100.200 dst-address-list=company dst-port=80,8111
[admin@MikroTik] /ip firewall filter>add chain=forward action=drop protocol=tcp src-address=172.16.100.200 dst-port=80
[admin@MikroTik] /ip firewall filter>add chain=forward action=drop src-address=172.16.100.200 layer7-protocol=qq
解释一下:
因网站可能对应多个外网ip,所以我们使用address-list来组合该网站多个ip,这样方便在防火墙规则里调用。三条规则第一条是允许172.16.100.200(内网计算机ip)访问公司网站(调用address-list里的ip,具体见address-list里的内容),端口可以是你要访问公司网站的某一些特定的业务(比如有安全认证的应用);第二条是禁止172.16.100.200访问所有的80端口地址(http服务端口,作用即是不让访问其他网站80端口,此时是可以ping通的);第三条就是调用L7-protocol 7层协议包里的内容,禁止访问qq。
转载于:https://blog.51cto.com/83297/516626