Добрый день!
Товарищи, прошу помощи. Скажу сразу, сам этот вопрос не осилил.
Попытался нарисовать схему текущей ситуации.
На словах, коротко: на роутере несколько сегментов. Сегмент Home имеет маршруты к сегментам Видеонаблюдение и NAS. Гостевой Wi-Fi только в интернет.
В интернет устройства сети ходят по привычным путям, но до некоторых ресурсов проложены маршруты через Европу.
Когда я со своего телефона по мобильной связи подключаюсь к VPN серверу IKEv2, поднятому на роутере, то получаю статический IP, доступ к сегменту Home, через него в другие сегменты, а так же доступ в интернет с возможностью открывать все нужные ресурсы.

Была задача дать доступ условным друзьям через мой роутер в интернет, но запретить им доступ в локальные сегменты.
Долго искал как... обратился в поддержку и они прислали вот такой вариант (через CLI):

permit ip 172.20.8.1 255.255.255.255 0.0.0.0 0.0.0.0
deny ip 172.20.8.0 255.255.255.0 0.0.0.0 0.0.0.0
interface Bridge0 ip access-group vpn out
interface Bridge2 ip access-group vpn out
interface Bridge3 ip access-group vpn out
interface Bridge4 ip access-group vpn out
system configuration save[/b]

Опыта особого не имею, сел разбираться, чтобы понимать, что я делаю.
Понял, что я даю разрешение "ходить везде" устройству с адресом 172.20.8.1 (мой телефон) и запрещаю всем остальным в данной подсети ходить на интерфейсы Bridge0, 2, 3, 4.
Далее этот список правил назначаем нужным интерфейсам в нужном направлении.
И вот тут я застрял наглухо. Вероятно, я не понимаю каких то принципиальных вещей.
Что за интерфейсы Bridge0, 2, 3 ,4 и почему направление out? Каждый Bridge это один из локальных сегментов?
Перекопал интернет, спрашивал в телеге... увы, не смог разобраться.
Может быть кто-то сможет меня наставить на путь истинный?
Заранее большое спасибо.

PS картинку старался рисовать максимально понятно, насколько хватает моих бытовых знаний сетей.

[img]https://ibb.co/0V3BvbK[/img]

О какие люди.
И сразу с козырей зашел.

Чет вспомнил из Альметьевска еще один был лоловец, активный такой, забыл ник. Или что то путаю?

Привет, привет!
Амарок вроде был, не?

ЕвгеничЪ
Как там мебелЯ ?

Да когда это было))

Первые 2 строчки ты понял верно, непонятно только, как вторая строчка запрещающая все для всей подсети позволит ходить хоть куда то, получившему адрес устройству в VPN сети, ему же на Ютуб тоже надо.

Бриджи это логические объединения физических интерфейсов, в твоей картинке это скорее всего гостевой вайвай, Хоум, видео и Nas.
В бридж может быть "объединен" и один интерфейс.

Далее, если у тебя есть отдельные подсети на каждый бридж, то нужно рисовать картинку с этими отдельными подсетями, их масками и шлюзами. И уже имея картинку по подсетям рисовать маршрутизацию, кто куда имеет доступ.

И да, я почти не сетевик 🙂

Эти два правила действуют только на локальные сегменты, поэтому одному можно, остальным нельзя. Они, на мой взгляд, не влияют на доступ в интернет.
Я не улавливаю почему направление правил "Out". Это получается, что Бриджам запрещено отвечать в подсеть, а не подсети ломиться в бриджи?

Добавлено спустя 1 минуту 15 секунд:


вот и я, ситуация провоцирует

Это имхо разрешающее правило, т.е. на всех бриджах вешаем правило, что всем кто в ацесс группе vpn разрешено ходить "наружу".
Наружу в этой терминологии видимо "интернет".
То, что вернётся с инета на этот запрос видимо смаршрутизируется куда надо обратно источнику автоматически.

Dron_spb а VPN IKEv2 сервер, поднятый на роутере (и его клиент - внешний телефон) ни каким бриджам не относится? Мне кажется вот тут непонятка. Не улавливаю как они выглядят относительно друг друга.
Казалось бы сделай правила:
permit ip 172.20.8.1 255.255.255.255 0.0.0.0 0.0.0.0
deny ip 172.20.8.0 255.255.255.0 0.0.0.0 0.0.0.0

и повесь на внутренний VPN IKEv2 с направлением Out. Т.е. все кто подключился к данному VPN подвергаются проверке, первый адрес идет куда хочет, вторые только в инет.

Где то тут я не могу уловить, точнее не понимаю чего-то принципиального.

И техподдержка не стала объяснять, но они и не обязаны заниматься моим образованием))