1)
Erik_U прав, я выскажу кратко: если сервис не нужен на внешнем адресе,
надо явно значит запретить. В линуксе местами было проще, в некоторых
хорошо развитых сервисах явно можно было указать на каком интерфейсе
работать. Поэтому ограничьте или запретите снаружи всё лишнее
2) не совсем понимаю зачем Вам на CCR'е порт 80 ???
3) Вы просили, привожу (как пример) правила, как я отсекаю на роутере заходы по 53 порту,
а если такое обращение было, адрес помещает в адрес-лист и в течении суток, этому адресу
вообще на роутер потом нельзя обратиться. На роутере сразу несколько внешних адресов,
для удобства они объединены в один интерфейс-лист (
list1-WANs-iface)
а) сначала идёт проверка адреса из списка и если есть, то пакет дропается.
б) потом идёт правила jump для анализа порта (в примере - ДНС, порт- 53).
в) потом идёт сбор адресов в адрес-лист (в один) (помечаем айпи на 24 часа).
г) дропаем текущие запросы.
Так как я люблю (и для красоты) разделять TCP и UDP, все правила у меня по два идут.
(но адрес лист один, и первое правило тоже одно).
Простенько, зато эффективно. Правила со временем переместил в таблицу RAW - данные
по этим правилам не нужны мне, поэтому такие запросы не будут попадать в Connection
таблицу, а значит экономим ресурсы роутера (но учтите, она (таблица RAW) раньше отрабатывается).
Код: Выделить всё
/ip firewall raw
add action=drop chain=prerouting comment="Droping IP (from Attack list) who attacked us in the last 24 hours" src-address-list=Attacks-from-WANs
add action=jump chain=prerouting comment="Analysis 53 TCP-ports (DNS)" dst-port=53 in-interface-list=list1-WANs-iface jump-target=DNS_DROP_TCP_RAW protocol=tcp
add action=jump chain=prerouting comment="Analysis 53 UDP-ports (DNS)" dst-port=53 in-interface-list=list1-WANs-iface jump-target=DNS_DROP_UDP_RAW protocol=udp
add action=add-src-to-address-list address-list=Attacks-from-WANs address-list-timeout=1d chain=DNS_DROP_TCP_RAW comment="Creation AddList of IP addresses of attackers"
add action=add-src-to-address-list address-list=Attacks-from-WANs address-list-timeout=1d chain=DNS_DROP_UDP_RAW comment="Creation AddList of IP addresses of attackers"
add action=drop chain=DNS_DROP_TCP_RAW comment="Drop TCP-packages who attacked us"
add action=drop chain=DNS_DROP_UDP_RAW comment="Drop TCP-packages who attacked us"