@safir

pertama buat masquearade dulu ip yang boleh akses internet sesuai bro pony diatas, buat juga daftar kedua yang hanya boleh akses ke webserver:

add chain=src-nat src-address-list=allowinternet out-interface=WAN action= masquerade
add chain=src-nat src-address-list=allowlocal out-interface=web_server action= masquerade

bisa ga yah?? hahaha blum pernah coba.... praktekin aja deh soalnya gue pake router board mikrotik gue diatas belum bisa coba2 ginian.