Да, но, как ты можешь видеть в своем предыдущем сообщении, состояние "invalid" отсутствует в конфигурации, как и следовало ожидать, в выводе iptables.

Заявление «invalid enable» отсутствует в правиле брандмауэра 20, название VLAN_IN. Действие: drop.
Установите брандмауэр с названием VLAN_IN, правило 20, состояние: invalid, включить.

Да, потому что 10.210.10/24 тоже VLAN для моих административных целей. Установил имя брандмауэра VLAN_IN, правило 11, состояние — новое, включено.

Спасибо.

Привет, я немного изменил это, чтобы разрешить трафик с vif 100 в административный порт на EdgeRouter в правиле 11. Иначе я потеряю доступ к коммутатору. Это понятно?

```
configure

set firewall name VLAN_IN default-action accept
set firewall name VLAN_IN rule 10 action accept
set firewall name VLAN_IN rule 10 state established enable
set firewall name VLAN_IN rule 10 state related enable
set firewall name VLAN_IN rule 11 source address 10.210.10.0/24
set firewall name VLAN_IN rule 11 destination address 10.210.1.0/24
set firewall name VLAN_IN rule 11 action accept
set firewall name VLAN_IN rule 20 action drop
set firewall name VLAN_IN rule 20 state invalid enable
set firewall name VLAN_IN rule 30 action drop
set firewall name VLAN_IN rule 30 source address 10.0.0.0/8
set firewall name VLAN_IN rule 30 destination address 10.0.0.0/8

commit
set interfaces switch switch0 vif 100 firewall in name VLAN_IN
set interfaces switch switch0 vif 200 firewall in name VLAN_IN
set interfaces switch switch0 vif 300 firewall in name VLAN_IN

commit
sudo conntrack -F
```

Это выглядит так:

```
ipv6-name WANv6_IN {
   default-action drop
   description "WAN inbound traffic forwarded to LAN"
   enable-default-log
   rule 10 {
       action accept
       description "Allow established/related sessions"
       state {
           established enable
           related enable
       }
   }
   rule 20 {
       action drop
       description "Drop invalid state"
       state {
           invalid enable
       }
   }
}
ipv6-name WANv6_LOCAL {
   default-action drop
   description "WAN inbound traffic to the router"
   enable-default-log
   rule 10 {
       action accept
       description "Allow established/related sessions"
       state {
           established enable
           related enable
       }
   }
   rule 20 {
       action drop
       description "Drop invalid state"
       state {
           invalid enable
       }
   }
   rule 30 {
       action accept
       description "Allow IPv6 icmp"
       protocol ipv6-icmp
   }
   rule 40 {
       action accept
       description "allow dhcpv6"
       destination {
           port 546
       }
       protocol udp
       source {
           port 547
       }
   }
}
ipv6-receive-redirects disable
ipv6-src-route disable
ip-src-route disable
log-martians enable
+name VLAN_IN {
   default-action accept
   rule 10 {
       action accept
       state {
           established enable
           related enable
       }
   }
   rule 11 {
       action accept
       destination {
           address 10.210.1.0/24
       }
       source {
           address 10.210.10.0/24
       }
   }
   rule 20 {
       action drop
   }
   rule 10 {
       action drop
       destination {
           address 10.0.0.0/8
       }
       source {
           address 10.0.0.0/8
       }
   }
}
name WAN_IN {
   default-action drop
   description "WAN to internal"
   rule 10 {
       action accept
       description "Allow established/related"
       state {
           established enable
           related enable
       }
   }
   rule 20 {
       action drop
       description "Drop invalid state"
       state {
           invalid enable
       }
   }
}
name WAN_LOCAL {
   default-action drop
   description "WAN to router"
   rule 10 {
       action accept
       description "Allow established/related"
       state {
           established enable
           related enable
       }
   }
   rule 20 {
       action drop
       description "Drop invalid state"
       state {
           invalid enable
       }
   }
}
options {
   mss-clamp {
       mss 1412
   }
}
receive-redirects disable
send-redirects enable
source-validation disable
syn-cookies enable
[edit]
```

К слову, есть ещё эта статья базы знаний из центра поддержки UISP: EdgeRouter - Как создать правило брандмауэра гостевой/LAN. Тема может не совсем совпадать, но детали в статье делают ровно то, что нужно (и соответствуют тому, что @redfive опубликовал).

Настраиваем.
set firewall name VLAN_IN default-action accept
set firewall name VLAN_IN rule 10 action accept
set firewall name VLAN_IN rule 10 state established enable
set firewall name VLAN_IN rule 10 state related enable
set firewall name VLAN_IN rule 20 action drop
set firewall name VLAN_IN rule 20 state invalid enable
set firewall name VLAN_IN rule 30 action drop
set firewall name VLAN_IN rule 30 source address 10.0.0.0/8
set firewall name VLAN_IN rule 30 destination address 10.0.0.0/8
commit
set interfaces switch switch0 vif VLAN100 firewall in name VLAN_IN
set interfaces switch switch0 vif VLAN200 firewall in name VLAN_IN
# Добавить больше vif по мере необходимости
set interfaces switch switch0 vif VLANnnn firewall in name VLAN_IN
set interfaces switch switch0 vif VLANnnn firewall in name VLAN_IN

commit
sudo conntrack -F

И правильно ли я понимаю, что всё, кроме 10.0.0.0/8, будет направлено в Интернет благодаря default-action accept и правилу 10 для состояния EST?

Привет,

VLAN'ы настроены следующим образом:

vlan100 10.210.1.0/24
vlan200 10.210.2.0/24

Я не думаю, что VLANы используют абсолютно одинаковую схему адресации подсетей. По-моему, у них разные, но небольшие подсети, но все в пределах одной большой суперсети.

Как так получилось, что обе VLAN имеют одинаковый IP-адрес? Где они созданы? Как @RobbieH и сказал, это нельзя сделать на роутере. Свитч — это совсем другое устройство и там можно использовать ACL.