Есть DFL-210, на нем по маку выдаются IP. Подняты несколько туннелей. Всем доступна локалка, локалки за туннелями и инет Нужно закрыть одному из айпишников доступ везде кроме инета (80 и 443 порты).

Достаточно ли создать правило:

Name Block_myIP_to_LAN
Action Drop
Source interface lan
Source network myIP
Destination interface lan
Destination network lannet
Service all_tcpudp

и поместить его наверх ?

Оно будет работать ?

Или еще что-то нужно ?

Подскажите плз Спасибо.

Неправильно. Если вам надо заблокировать весь интернет кроме НТТР, то надо сделать 2 правила

NAT lan/myIP wan/all-nets http-all
Drop lan/myIP wan/all-nets all_services

и разместить их над правилами группы lan_to_wan.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Не совсем так, мне надо заблокировать не инет, а лан для одного из ип. Ну и инет обрезать весь кроме хттп тоже только для этого ип.

Про инет для него вам сказали. А LAN вы для него не заблокируете, т.к. у DFL на LAN обычный неуправляемый коммутатор.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Если сетевая карта компьютера поддерживает VLAN, то вы вполне можете сделать это при помощи vlan.

_________________
Сообщения в PM игнорируются, задавайте вопросы на форуме.

Раз речь идет про блокирование "везде", то я бы так написал второе правило. Все-таки если оставить Wan, то будут доступны удаленные туннели...

_________________
DFL-860E (10.22.01.04), DFL-210 (2.27.08.03-22678), DGS-1210-20/ME/B1A (7-03-B043), DGS-3200-10 (2.21.B018), DES-3200-10 (4.38.B012), DWL-2100AP (250eu-rc358), DNS-323 (1.10), DI-824VUP (1.06b21), DSL-300T (2.00B01T01.EU.20071227)