Tutorials

Anleitung: Internetzugriff auf MikroTik-Routern sperren und nur für bestimmte IPs erlauben

Melden

Hier ist ein detailliertes Tutorial, wie du den Internetzugriff auf einem MikroTik-Router (RouterOS) einschränkst, sodass nur noch explizit freigegebene IP-Adressen online gehen können.

In dieser Anleitung nutzen wir die Firewall-Filter von RouterOS. Das Grundprinzip lautet: Wir erlauben zuerst den gewünschten Geräten den Zugriff und blockieren anschließend den gesamten restlichen ausgehenden Datenverkehr.

Voraussetzungen

  • Zugriff auf den MikroTik-Router via WinBox oder WebFig.
  • Kenntnis der IP-Adressen, die weiterhin Internetzugriff haben sollen.

Methode 1: Über die grafische Oberfläche (WinBox)

Schritt 1: Eine Adressliste für erlaubte Geräte erstellen

Anstatt für jedes Gerät eine eigene Regel zu schreiben, fassen wir sie in einer "Address List" zusammen. Das ist übersichtlicher.

  1. Gehe zu IP -> Firewall.
  2. Klicke auf den Reiter Address Lists.
  3. Klicke auf das blaue Plus (+).
  4. Gib der Liste einen Namen, z. B. Erlaubte_Internet_Nutzer.
  5. Trage bei Address die IP-Adresse ein, die Internet erhalten soll (z. B. 192.168.88.50).
  6. Wiederhole diesen Vorgang für jede weitere erlaubte IP.

Schritt 2: Die Firewall-Regeln erstellen

Wichtig ist hierbei die Reihenfolge. MikroTik arbeitet Regeln von oben nach unten ab.

Regel A: Erlaubte Liste zulassen

  1. Gehe zum Reiter Filter Rules.
  2. Klicke auf das blaue Plus (+).
  3. General Tab:
    • Chain: forward
    • Out. Interface: ether1 (Wähle hier dein WAN-Interface aus, meist ether1 oder pppoe-out1).
  4. Advanced Tab:
    • Src. Address List: Erlaubte_Internet_Nutzer
  5. Action Tab:
    • Action: accept
  6. Klicke auf OK.

Regel B: Alles andere sperren

  1. Klicke erneut auf das blaue Plus (+).
  2. General Tab:
    • Chain: forward
    • Out. Interface: ether1 (Gleiches WAN-Interface wie oben).
  3. Action Tab:
    • Action: drop
  4. Klicke auf OK.

Wichtig: Stelle sicher, dass die "Accept"-Regel in der Liste über der "Drop"-Regel steht.

Methode 2: Über das Terminal (CLI)

Dies ist der schnellere Weg, wenn du die Befehle direkt kopieren möchtest. Ersetze ether1 durch dein tatsächliches Internet-Interface.

  1. Öffne das Terminal in WinBox.
  2. Erstelle die Liste der erlaubten IPs:
    /ip firewall address-list add address=192.168.88.50 list=Erlaubte_Internet_Nutzer
/ip firewall address-list add address=192.168.88.51 list=Erlaubte_Internet_Nutzer
  3. Erstelle die Firewall-Regeln:
    /ip firewall filter add chain=forward action=accept src-address-list=Erlaubte_Internet_Nutzer out-interface=ether1 comment="Erlaube ausgewaehlte IPs"
/ip firewall filter add chain=forward action=drop out-interface=ether1 comment="Sperre restliches Internet"

Wichtige Hinweise und Fehlerbehebung

  1. Reihenfolge der Regeln: Falls du bereits Standard-Firewall-Regeln hast (z. B. "Fasttrack" oder "Accept Established/Related"), müssen die neuen Regeln in der Liste nach den Regeln für "Established/Related" kommen, aber vor allgemeinen Drop-Regeln.
  2. DNS-Probleme: Wenn die Geräte zwar keine Webseiten laden, aber IP-Adressen anpingen können, hast du nur den Forward-Traffic blockiert. Die obige Anleitung blockiert den kompletten Traffic durch den Router zum Internet, was korrekt ist.
  3. Internes Netzwerk: Durch die Auswahl des Out. Interface (WAN) wird nur das Internet blockiert. Die Geräte können untereinander im lokalen Netzwerk (LAN) weiterhin kommunizieren und auf lokale Server oder Drucker zugreifen.
  4. Statisches DHCP: Es ist dringend empfohlen, den erlaubten Geräten im MikroTik unter IP -> DHCP Server -> Leases eine statische IP zuzuweisen (Rechtsklick "Make Static"), damit sie immer die IP behalten, die in der Adressliste freigegeben wurde.
0