此教程用途：
内网IP过滤：如禁止某些IP上网。
外网IP过滤：禁止访问某些外网IP。
一、内网IP过滤：如禁止某些IP上网
拓扑如下：
两台机器均可上网！
现在只允许254机器上网，不允许253机器上网。
那么我们要如何操作呢？
新建一条防火墙过滤规则：
动作为丢弃：
效果：
PC-1是毫无压力可以访问的，毕竟没有被拦截。
原理分析：
在第一次路由之后，因为从第四口进来的数据包源IP和目的IP都不在路由器上的。就要选用forward链来进行转发，然后通过NAT源地址出去。此时我们在Fliter表进行拦截forward链的数据，即可完成禁止符合规则的IP上网。
那么为什么能ping通网关呢？
因为网关的地址在第一次路由后就是另一个方向了，目的地址在ROS路由器上。
二、禁止访问某些外网IP
同理，还是要使用到forward链
假设我禁止访问8.8.8.8，针对所有的内网192.168.11.0/24的IP。
我们只需要新加一条规则
动作还是选择丢弃！
测试效果
其实Mikrotik ROS 的过滤过滤规则还可以应用在路由与路由之间的过滤限制，和vlan之间的过滤限制，但是我们还没有接触这些东西，所以到时候我们接着讲这些内容。