Коллеги, помогите, меня слегка мучает паранойя.

Вроде же не занимался я умным домом, а дом всё равно умнеет без моего разрешения.
Посчитал я количество "умных" девайсов в доме, которые хотят бесконтрольно ходить в интернет и это число приблизились к количеству пальцев на руке.

А в новостях тем временем периодически всплывают всякие интересные вещи. То всякие умельцы на умных лампочках ботнет сделают, то китайские видеоняни начнут транслировать видео в инет без авторизации, то какая нибудь компания начнёт собирать статистику чуть более подробную, чем следует.

В общем, все эти новости привели меня к мысли, что минимум, что мне надо бы сделать - это изолировать все мои шибко умные девайсы хотя бы от компьютеров.

И казалось бы, что тут сложного?
Сделать все то надо отдельную WiFi сеть с отдельной адресацией и отдельным бриджом, а дальше рубить все фаерволом как душе угодно. Но есть одна проблема.
Все эти домашние "умные" устройства делаются для глупых людей.
Ни в одной управлялке нет возможности указать, к какому адресу надо обращаться. Все управлялки обнаруживают свои устройства сами, автоматически. Бродкастами тобишь.
Вот тут то и возникает проблема. При выносе устройств в отдельную сеть, теряется возможность управления ими.

Собственно, вопрос: можно ли силами микротика как то решить эту беду? И если да, то куда стоит смотреть?
Возможно, какая нибудь магия с релеем бродкастов? Или изоляция на уровне L2?

squid с сертификатом. )

это некорректно и будет очень сильно грузить роутер

а последствия какие?

Коллеги, помогите, меня слегка мучает паранойя.

Вроде же не занимался я умным домом, а дом всё равно умнеет без моего разрешения.
Посчитал я количество "умных" девайсов в доме, которые хотят бесконтрольно ходить в интернет и это число приблизились к количеству пальцев на руке.

А в новостях тем временем периодически всплывают всякие интересные вещи. То всякие умельцы на умных лампочках ботнет сделают, то китайские видеоняни начнут транслировать видео в инет без авторизации, то какая нибудь компания начнёт собирать статистику чуть более подробную, чем следует.

В общем, все эти новости привели меня к мысли, что минимум, что мне надо бы сделать - это изолировать все мои шибко умные девайсы хотя бы от компьютеров.

И казалось бы, что тут сложного?
Сделать все то надо отдельную WiFi сеть с отдельной адресацией и отдельным бриджом, а дальше рубить все фаерволом как душе угодно. Но есть одна проблема.
Все эти домашние "умные" устройства делаются для глупых людей.
Ни в одной управлялке нет возможности указать, к какому адресу надо обращаться. Все управлялки обнаруживают свои устройства сами, автоматически. Бродкастами тобишь.
Вот тут то и возникает проблема. При выносе устройств в отдельную сеть, теряется возможность управления ими.

Собственно, вопрос: можно ли силами микротика как то решить эту беду? И если да, то куда стоит смотреть?
Возможно, какая нибудь магия с релеем бродкастов? Или изоляция на уровне L2?

Надо просто запретить форвард нью пакетов из одной сети в другую

Да это понятно. Две сети и фаервол между ними. Вот только как сделать, что бы бродасты в ту сеть уходили?

И все же я снова уткнулся в никуда. Сколько не гуглил, инфы не нашел.
Итак по порядку. Есть CHR c Ip 185.10.187.34 на нем на eth1 назначена адресация. Далее я создал l2tp сервер и добавил 2 тонеля. (Сразу поясню: 1 тон для работы ospf, второй чтобы с клиента по тон шел траф с белым ip)
На роутере (который через lte) поднял 2 тон, все супер, подключились. По умолчанию на роутере серый ип выдает. Задача:
Есть второй белый IP 185.10.187.35 как его и где прописывать чтобы весь траф шел через 2 тон.
Образно говоря, CHR это ядро. Также прописал маркировку пакетов для 2 тон. Но как только я ее включаю инет пропадает. Также если я белый ip прописываю в dhcp тоже не работает
Ниже код для роутера
/ip pool add name=dhcp_pool1 ranges=185.10.187.35
/ip address add address=185.10.187.35/30 interface=ether1 network=185.10.187.33
/ip dhcp-server network add address=185.10.187.32/29 dns-server=188.93.16.19,188.93.17.19 gateway=185.10.187.33
/ip firewall address-list add address=185.10.187.35 list=B7-01
/ip firewall mangle add action=mark-routing chain=prerouting new-routing-mark=B7-01 passthrough=yes src-address-list=B7-01
add action=mark-routing chain=prerouting dst-address-list=B7-01 new-routing-mark=main passthrough=yes routing-mark=B7-01
/ip route add distance=1 gateway=l2tp-out2 routing-mark=B7-01
/ip firewall nat add action=masquerade chain=srcnat out-interface=lte1

Подскажите хотя бы куда смотреть. или может я недостаточно гуглил. если есть инфа в инете как настроить

Схема простая есть lte роутер локальный и CHR (ядро) на VPS где-то... в другом городе. Больше железок нет

Я так и не понял зачем два тунеля и оспф?

Я так и не понял зачем два тунеля и оспф?

Разделить на вланы, когда нужно управлять говном, цепляться к ссиду который в одном л2 с девайсами