Mikrotik - WAN/DMZ使用桥

Question

我不确定我要用正确的方式.

我有来自我的ISP的3个静态IP，它们都在同一个子网中，具有相同的网关。一个地址用于桥接器上的路由器(RB3011 - 6.43.8)，端口1-3.ISP插入端口1，端口2和3用于for服务器和电子邮件服务器。LAN在端口5上，我的工作台(客户设备)的一个独立的LAN在使用端口6-8的桥上。

我不能让IP过滤规则起作用。我想设置过滤规则，只允许流量到指定端口上的web服务器和电子邮件服务器，同时阻塞所有端口到局域网子网。

我做错什么了？

/interface bridge 
add name=bridge1-Internet 
add name=bridge2-WorkRoom 
/interface wireless security-profiles 
set [ find default=yes ] supplicant-identity=MikroTik
/tool user-manager customer
set admin access=own-routers,own-users,own-profiles,own-limits,config-payment-gw
/interface bridge port
add bridge=bridge1-Internet interface=ether1
add bridge=bridge1-Internet interface=ether2
add bridge=bridge1-Internet interface=ether3
add bridge=bridge2-WorkRoom interface=ether6
add bridge=bridge2-WorkRoom interface=ether7
add bridge=bridge2-WorkRoom interface=ether8
/interface bridge settings
set use-ip-firewall=yes
/ip address
add address=10.10.99.5/24 interface=ether5 network=10.10.99.0
add address=10.10.97.1/25 interface=bridge2-WorkRoom network=10.10.97.0
add address=207.174.237.157/24 interface=bridge1-Internet network=207.174.237.0
/ip firewall filter
add action=accept chain=input connection-state=established,related\
        in-interface=bridge1-Internet
add action=accept chain=input dst-address=207.174.237.241 dst-port=25,80,443,995\
        in-interface=bridge1-Internet protocol=tcp
add action=accept chain=input in-interface=bridge1-Internet protocol=icmp
add action=drop chain=input in-interface=bridge1-Internet
/ip firewall nat
add action=masquerade chain=srcnat out-interface=bridge1-Internet
add action=dst-nat chain=dstnat dst-address=207.174.237.157\
        dst-port=80 protocol=tcp to-addresses=10.10.99.8
/ip route
add distance=1 gateway=207.174.237.1
/tool user-manager database
set db-path=user-manager

Answer 1

这是因为set use-ip-firewall=yes‘强制通过IP路由的预路由、转发和后处理来处理桥接通信’(桥_设置)

使用网桥就像在路由器前使用4个端口(isp-eth2-eth3-路由器)的硬件交换机。add action=accept chain=input dst-address=207.174.237.241 dst-port=25,80,443,995 in-interface=bridge1-Internet protocol=tcp -这个规则允许tcp用于路由器，并且在桥接器内不起任何作用。