Целесообразно выделить отдельную подсеть для целей администрирования

[sergey-s-betke]

Требуемая возможность

При конфигурировании места администратора стоит добавлять IP адрес из отдельной подсети для администрирования. Или не стоит? Идея в том, чтобы закрыть доступ к администрированию из локальной сети межсетевым экраном.

Так же и сценариями настройки маршрутизаторов добавлять дополнительные IP адреса на LAN интерфейсы из сети для администрирования.

Стоит рассмотреть и возможность установки VLAN ID для большей изоляции трафика администратора. Это - лучший вариант. Если RouterOS и Windows позволят нам это сделать.

Текущее поведение

Сейчас дойти до консоли и до запроса логина и пароля можно из локальной сети, что не безопасно.

[sergey-s-betke]

https://habr.com/ru/post/322720/

[sergey-s-betke]

https://systemzone.net/vlan-routing-configuration-between-mikrotik-routeros/

[sergey-s-betke]

Set-NetAdapter -VLanID

Но - на адаптер. Видимо, необходимо на Windows понимать виртуальный адаптер для этих целей...

[sergey-s-betke]

https://jakondo.ru/nastrojka-vlan-virtual-local-area-network-na-setevom-oborudovanii-mikrotik-razdelenie-lokalnoj-seti-s-pomoshhyu-vlan/

[sergey-s-betke]

https://toster.ru/q/367526

[sergey-s-betke]

Под Windows с VLAN всё печально. Решается только специальным ПО от производителей сетевых карт. Для Realtek скачал. Можно создавать виртуальные адаптеры, каждый - на своём VLAN. Только так. На уровне ОС с VLAN ничего не решить, как я понимаю, хотя приведённая выше командлета PowerShell внушает надежды... Однако, тест показал, что нужна поддержка от устройства (от драйвера). А её нет...

[sergey-s-betke]

Первый этап пройден. Виртуальные адаптеры MAN добавлены, все подключены к единому виртуальному коммутатору.

[sergey-s-betke]

Как раздавать адреса в этой сети для администрирования? Пока хотя бы в лабораторных условиях?

[sergey-s-betke]

Самый логичный вариант - свой DHCP...