接到朋友的要求，需要将公司前台电脑只允许访问公司网站，而不让访问其他网站及qq聊天。
在VMware测试过程中，限制前台电脑访问公司网站折腾了很久，这里提供两种防火墙规则组合。
第一种组合是3条规则：
[admin@MikroTik] /ip firewall address-list> print
Flags: X - disabled, D - dynamic
# LIST ADDRESS
0 company 11.123.234.23
1 company 11.123.234.98
[admin@MikroTik] /ip firewall filter>add chain=forward action=accept protocol=tcp src-address=172.16.100.200 dst-address-list=company dst-port=80,8111
[admin@MikroTik] /ip firewall filter>add chain=forward action=drop protocol=tcp src-address=172.16.100.200 dst-port=80
[admin@MikroTik] /ip firewall filter>add chain=forward action=drop src-address=172.16.100.200 layer7-protocol=qq
解释一下：
因网站可能对应多个外网ip，所以我们使用address-list来组合该网站多个ip，这样方便在防火墙规则里调用。三条规则第一条是允许172.16.100.200（内网计算机ip）访问公司网站（调用address-list里的ip，具体见address-list里的内容），端口可以是你要访问公司网站的某一些特定的业务（比如有安全认证的应用）；第二条是禁止172.16.100.200访问所有的80端口地址（http服务端口，作用即是不让访问其他网站80端口，此时是可以ping通的）；第三条就是调用L7-protocol 7层协议包里的内容，禁止访问qq。
