Страница 1 из 1
Домашняя сеть, файрволл
Добавлено: 28 июл 2018, 21:58
yden
Добрый всем.
Подскажите пожалуйста. Домашняя сеть, вожусь с настройками файрволла. Хочу сделать оптимальную защиту сети, без фанатизма.
На просторах сети нашел настроеки файрволла:
/ip firewall filter
add action=accept chain=input comment="IPTV UDP incoming" dst-port=1234 \
in-interface=wan protocol=udp
add action=accept chain=forward comment="IPTV UDP forwarding" dst-port=1234 \
protocol=udp
add action=accept chain=input comment="Allow IGMP" in-interface=wan protocol=\
igmp
add action=accept chain=input comment="Allow Ping Mikrotik" protocol=icmp
add action=accept chain=forward comment="Allow Ping My Network" protocol=icmp
add action=accept chain=input comment=\
"Accept established connections Mikrotik" connection-state=established
add action=drop chain=input comment="Drop flood on port 53" dst-port=53 \
in-interface=wan protocol=udp
add action=accept chain=forward comment=\
"Accept established connections My Network" connection-state=established
add action=accept chain=input comment="Accept related connections Mikrotik" \
connection-state=related
add action=accept chain=forward comment=\
"Accept related connections My Network" connection-state=related
add action=accept chain=input comment="Access to router only from My Network" \
src-address=192.168.1.0/24
add action=drop chain=input comment="Drop invalid connections Mikrotik" \
connection-state=invalid
add action=drop chain=forward comment="Drop invalid connections My Network" \
connection-state=invalid
add action=accept chain=input comment="Allow UDP Mikrotik" protocol=udp
add action=accept chain=forward comment="Allow UDP My Network" protocol=udp
add action=accept chain=forward comment="Minimum access" protocol=tcp \
src-address=192.168.1.0/24 src-port=80,443
add action=accept chain=forward comment="Minimum access" dst-address=\
192.168.1.0/24 dst-port=80,443 protocol=tcp
add action=drop chain=input comment="All other drop" log=yes log-prefix=55
add action=drop chain=forward comment="All other drop"
Что имею. Работает ютуб, гугл поиск, яндекс в отказ. Это из внешних ресурсов. Внутренняя сеть - в отказ доступ к nas - самба. Что я накосячил?
Может кто подкинет рабочие настройки - буду признателен.
благодарю
Re: Домашняя сеть, файрволл
Добавлено: 29 июл 2018, 15:01
KARaS'b
Принцип предельно прост, если не понимаете как и что в фаерволе, то либо не используйте вообще, или хотя бы возьмите "дефолтные правила", от производителя и меняйте в них только то, что необходимо поменять под вашу конфигурацию - интерфейсы\листы интерфейсов. И перед добавление оного ВНЕМАТОЧНО! ознакомьтесь с тем, что собираетесь добавлять, что бы не навредить себе и не потерять доступ к устройству.
Вот дефолтные правила, но повторюсь, их не достаточно просто добавить, перед добавлением нужно в правилах заменить интерфейсы\интерфейс листы на свои.
Код: Выделить всё
/ip firewall filter
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN