Помогите разобратся в ip firewall filter

Раздел для тех, кто начинает знакомиться с MikroTik
Правила форума
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.

1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку "Действия до настройки роутера".
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.
Ответить
Аватара пользователя
sonic2006
Сообщения: 14
Зарегистрирован: 24 авг 2016, 21:45

По умолчания в mikrotik 951Ui-2HnD под RouterOS 6.43.7 такие правила :
/ip firewall filter
1 add action=accept chain=input connection-state=established,related,untracked
2 add action=drop chain=input connection-state=invalid
3 add action=accept chain=input protocol=icmp
4 add action=drop chain=input in-interface-list=!LAN
5 add action=accept chain=forward ipsec-policy=in,ipsec
6 add action=accept chain=forward ipsec-policy=out,ipsec
7 add action=fasttrack-connection chain=forward connection-state=\ established,related
8 add action=accept chain=forward connection-state=\ established,related,untracked
9 add action=drop chain=forward connection-state=invalid
10 add action=drop chain=forward connection-nat-state=!dstnat connection-state=\ new in-interface-list=WAN
#
/ip firewall nat
11 add action=masquerade chain=srcnat ipsec-policy=out,none out-interface-list=\ WAN
Можете объяснить что какой пункт значит ?


vqd
Модератор
Сообщения: 3605
Зарегистрирован: 26 сен 2013, 14:20
Откуда: НСК
Контактная информация:

1 add action=accept chain=input connection-state=established,related,untracked -разрешает в цепочке input весь трафик established,related,untracked
2 add action=drop chain=input connection-state=invalid - запрещает в цепочку инпут весь инвалид трафик
3 add action=accept chain=input protocol=icmp - разрешает в цепочке инпут весь ИЦМП трафик
4 add action=drop chain=input in-interface-list=!LAN - запрещает весь трафик в цепочке инпут кроме трафика с интерфейсов в группе LAN
5 add action=accept chain=forward ipsec-policy=in,ipsec - разрешать в цепочке форварт трафик in,ipsec
6 add action=accept chain=forward ipsec-policy=out,ipsec - разрешать в цепочке форварт трафик out,ipsec
7 add action=fasttrack-connection chain=forward connection-state=\ established,related - пускает в цепочке форвард весь трафик established,related сразу на интерфейс назначения
8 add action=accept chain=forward connection-state=\ established,related,untracked - разрешает трафик established,related,untracked в форварде
9 add action=drop chain=forward connection-state=invalid - запрешает в форварде трафик инвалид
10 add action=drop chain=forward connection-nat-state=!dstnat connection-state=\ new in-interface-list=WAN - запрещает весь новый трафик с группы интерфейсов WAN кроме dstnat


Есть интересная задача и бюджет? http://mikrotik.site
Аватара пользователя
sonic2006
Сообщения: 14
Зарегистрирован: 24 авг 2016, 21:45

Спасибо.
Можете посоветовать хороший вариант защиты роутера ?
Небольшой офис, белый ip, переадресация портов 80,22 из одного ПК в локальной сети на внешний wan. Нужна защита из вне.


Аватара пользователя
Dragon_Knight
Сообщения: 1724
Зарегистрирован: 26 мар 2012, 18:21
Откуда: МО, Мытищи
Контактная информация:

Защита из вне это сам NAT по сути...
Защита роутера заключается в отключении ненужных служб и разрешение их работы только из локальный сети + поменять стандартную учётную запись удалив и добавив свою.


Небольшой свод правил логики и ссылок:
  1. Если устройство имеет Ethernet порт, то оно обязано быть подключено через него. Компьютер, Ноутбук, Телевизор, Принтер, Камера видеонаблюдения, и т.д.
  2. Если нет возможности протянуть кабель, то найдите её, или страдайте со своими проблемами Wi-Fi дальше.
  3. Wi-Fi это сеть для мобильных устройств. Если Вы подключили свой шикарный 50" телевизор не кабелем, то без фотоотчёта, когда он лежит у Вас в кармане дальнейшего разговора не получиться. Это относится и ко всем остальным устройствам.
  4. Если Ваше устройство вызывает вопросы в работе, первое что необходимо делать: NetInstall + дальнейшая настройка вручную.
  5. Не используйте WebFig или QuickSet - это пути к глюкам и ошибкам. Только SSH или WinBox, и да, - WinBox есть под Android.
  6. name.rsc - это текстовый файл, и Вы можете его открыть блокнотом.
  7. Если Вы хотите связаться со мной для ремонта или настройки, то: Telegram ( Не благотворительность ).
  8. Мой сайт по Mikrotik: Global Zone >> MikroTik.
Аватара пользователя
Vlad-2
Модератор
Сообщения: 2531
Зарегистрирован: 08 апр 2016, 19:19
Откуда: Петропавловск-Камчатский (п-ов Камчатка)
Контактная информация:

sonic2006 писал(а): 14 дек 2018, 22:40 Спасибо.
Можете посоветовать хороший вариант защиты роутера ?
Небольшой офис, белый ip, переадресация портов 80,22 из одного ПК в локальной сети на внешний wan. Нужна защита из вне.
1) Роутер защищает Вашу сеть.
2) Его по идеи защищать не нужно (глобально)
3) Если роутер тоже надо защищать = это плохой роутер ;;-)))
4) В Микротике всё сделано в виде кирпичиков, поэтому результат
может быть каким угодным, это лишь от "мастера" зависит в итоге,
проще говоря - как Вы сами сделаете защиту, такая она и будет.
Не готовы: значит или пользоваться только пре-заводскими настройками,
либо как бы это не звучало грубо - найти другой роутер.
5) Ну и опять же: тут на форуме было много примеров файрвола, поищите темы,
почитайте, соберите эти знания вместе (с учётом Ваших нужд) и примените их.



На работе(ах): 2xCCR1016-12G, RB3011UiAS и hAP lite (RB941)
Дома: CCR1016-12G, RBcAP2n (standalone), RB wAP LTE kit
Для тестов(под рукой): RB3011UiAS, hAP mini (RB931) и что-то ещё по мелочи
MTCNA
MTCRE
Ответить