Управление роутером и правила для этого

[evgen-20]

Просветите новичка.
Купил Mikrotik 750, начал настраивать и столкнулся с непониманием. Есть IP Service list в котором службы и сети из которых они доступны (по умолчанию не заданы) и есть Firewall Rules с цепочкой input (в ней разрешены подключения для established и related, осталное дропается). Так вот вопрос из Lan могу заходить через web и winbox, хотя в Firewall Rules это не разрешено (вроде как), а из Wan не могу. Почему? И кто фильтрует эти подключения?

[vqd]

В заводском конфиге из лан можно все, а с ван все порезано.

Отключите фильтры в фаерволе и проверте. Ну а потом можете методом исключения разбирается

[evgen-20]

А зачем тогда нужен IP Service list и в нем разрешение по подсетям (Available From)?

[vqd]

Ну может быть вы хотите какие то сервисы на микроте подушить или прописать правила доступа.

Просто в микротике очень много задач можно решить несколькими способами. Конкретно данную можно решить фильтрами в фаерволе или в сервисе

Я допустим сразу тушу все кроме винбокса, и уже по мере надобности подключаю нужные

[evgen-20]

Понял, спасибо!

А может тогда подскажите откуда все же берется доступ к роутеру из LAN?
Есть только такие правила https://www.dropbox.com/s/d35ljm82cc5q1ii/1.jpg?dl=0

[podarok66]

Ну по Вашей картинке сложно понять правила. Обычно чтобы продемонстрировать настройки, открывают терминал и в нем вбивают:

Код: Выделить всё

ip firewall filter export

результат копируют и публикуют здесь.
Таким образом не будет никаких разночтений и недомолвок.
А так, Вам что не нужен доступ к устройству из LAN? Такие шаги нужно совершать обдуманно. А то потеряете доступ к устройству. И восстановить доступ можно только сбросом к заводским настройкам, без сохранения существующей конфигурации. Для сохранения конфиденциальности доступа для начинающих достаточно нестандартной пары логин-пароль. Например:
kollaps - K0lLay3der
Не думаю, что этого недостаточно...

[evgen-20]

Да мне именно понять хочется, понятное дело я не буду в домашней сети закрывать доступ по LAN.
Вот правила:
/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add chain=input comment=Remote_admin dst-port=80 in-interface=ether1-gateway protocol=tcp
add chain=input dst-port=8291 in-interface=ether1-gateway protocol=tcp
add action=drop chain=input comment="default configuration" in-interface=ether1-gateway
add chain=forward comment="default configuration" connection-state=established
add chain=forward comment="default configuration" connection-state=related
add action=drop chain=forward comment="default configuration" connection-state=invalid

[vqd]

Ну у вас ничего и не блокирует доступ из внутренней сети

Если на первом порту у вас оператор то снаружи блокирует
add action=drop chain=input comment="default configuration" in-interface=ether1-gateway

[evgen-20]

Теперь понял, почему-то думал, что по умолчанию все заблокировано Спасибо за разъяснения!