Перейти до

Mikrotik настройка firewall


Рекомендованные сообщения

Нужны комментарии по поводу настройки фаервола.

Настраиваю очередной интернет-шлюз под заказчика, пользователей около 100, включение/выключение руками (через ip - firewall - address list).

Пробовал разные варианты, и придумал вот что:

 

/ip firewall filter

add action=drop chain=input connection-state=invalid
#блокирует некорректные соединения на вход

add action=drop chain=forward connection-state=invalid
#блокирует некорректные соединения на транзит

add action=accept chain=input src-address-list=Client
#разрешает входящие соединения для пользователей, если ip активен в адрес-листе

add action=accept chain=forward src-address-list=Client
#разрешает транзитные соединения для пользователей, если ip активен в адрес-листе

add action=accept chain=input protocol=icmp
#разрешает входящий ICMP для всех

add action=drop chain=input connection-state=new
#запрет для всех входяших новых соединений, которые не попадают в вышестоящие правила

add action=drop chain=forward connection-state=new
#запрет для всех транзитных новых соединений, которые не попадают в вышестоящие правила

И вроде бы всё работает. Из интернета пинг на шлюз есть, доступа на порты нет, инет для активных ай-пи в адрес-листе работает.

Однако, поразмыслив с коллегами, пришли к сомнениям.

1. Нужны ли первые два правила для резки неких инвалидных соединений? Мне предлагают их выбросить вообще, мол, на работу не влияют, больше для красоты и верности.

2. Моя логика с чередованием input/forward кривая, мол, нужно сначала прописать все intup, потом все forward. Я так пробовал. Визуально начинают дольше грузиться странички. Или же это из-за перестройки и нужно сначала ребутнуть роутер?

3. Нужно в разрешающих правилах разрешать не всё, а только established и related, а в нижних правилах рубить всё, а не только new.

Вот я и задумался.

 

Как бы посоветовали вы?

Відредаговано Туйон
Ссылка на сообщение
Поделиться на других сайтах
8 часов назад, Туйон сказал:

1. Нужны ли первые два правила для резки неких инвалидных соединений? Мне предлагают их выбросить вообще, мол, на работу не влияют, больше для красоты и верности.

нужны, гуглите зачем это делается

8 часов назад, Туйон сказал:

2. Моя логика с чередованием input/forward кривая, мол, нужно сначала прописать все intup, потом все forward. Я так пробовал. Визуально начинают дольше грузиться странички. Или же это из-за перестройки и нужно сначала ребутнуть роутер?

iptables на каждый пакет проверит все правила дойдя до того которое его явно запретит или разрешит

смотреть схемы работы prerouting, forward, etc какой порядок обработки

или поставить железку достаточно быструю что б не оптимизировать фаер, ну и выкинуть на мороз ROS да, если хочется перфоманса чистого

Відредаговано l1ght
Ссылка на сообщение
Поделиться на других сайтах
В 13.04.2019 в 10:27, Туйон сказал:

add action=accept chain=input src-address-list=Client #разрешает входящие соединения для пользователей, если ip активен в адрес-листе 

а зачем пользователям доступ к серверу ?

у цепочки chain=input  смысл другой. Пакеты на сам роутер.

Відредаговано Kovalchukvv
Ссылка на сообщение
Поделиться на других сайтах
2 минуты назад, Kovalchukvv сказал:

а зачем пользователям доступ к серверу ?

у цепочки chain=input  смысл другой. Пакеты с самого роутера.

Только вот на роутер, а не с роутера

Ссылка на сообщение
Поделиться на других сайтах
2 минуты назад, Kovalchukvv сказал:

а зачем пользователям доступ к серверу ?

 

а админу как админить ?

и ДНС как будет работать?

если input это пакеты с самого роутера, то что такое тогда output?

Ссылка на сообщение
Поделиться на других сайтах
  • 10 months later...

Всем привет. 

Дабы не плодить тему апну эту своим вопросом. 

Есть Микрот rb4011 чуть ли не в дефолтном конфиге.

Проблема в том, что он не натити исходящий sip трафик. 

Пробовал и маскарад и сорс-нат. Отключение сип в сервис портах ни на что не влияет.

Что не делаю пакеты к аплинку уходят с локальным адресом в сорс адрес. 

Было у кого такое? куда копать? 

Ссылка на сообщение
Поделиться на других сайтах

копать в сторону "mikrotik sip не работает" и в сторону "пакеты к аплинку уходят с локальным адресом"

Відредаговано Dimkers
Ссылка на сообщение
Поделиться на других сайтах

Вроде заработало. 
Зашел в ip firewall connection, отфильтровал коннекшины по адресу сервера, дропнул коннекшин и сразу все начало натиться. 

Ссылка на сообщение
Поделиться на других сайтах
1 час назад, tkapluk сказал:

Вроде заработало. 
Зашел в ip firewall connection, отфильтровал коннекшины по адресу сервера, дропнул коннекшин и сразу все начало натиться. 


Тю, как будто первый день с некротиком и трекингом коннектов.

  • Sad 1
Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • Від Игорь2025
      Требуется ремонт  внешней точки доступа Mikrotik
      Точка доступа RBwAPG-5HacD2HnD
    • Від fitros
      Вітаю всіх!
      Професійно займаюсь ремонтом зварювальних апаратів, сколювачів, обладнання MikroTik та Ubiquiti. Маю великий досвід і ґрунтовні знання в ремонті та обслуговуванні вказаного обладнання. Звертайтесь із запитаннями — завжди радий допомогти!
       
       
    • Від zababaha
      Всем привет.
      В один прекрасный день отвалился MikroTik RB4011GS+RM. При включении загорается индикация питания и всё. 
      Попытки сбросить до заводских настроек, играться с netisntall в надежде перезалить в него прошивку никак не помогли. Поведение не меняется.
      Пробежался по интернетам в попытках найти авторизованный сервис для диагностики и, если живой, то ремонта - не помогли.
      Несколько лет назад покупал его на ntema, позвонил им, но ребята сказали, что негарантийным ремонтом не занимаются.
       
      Подскажите, плиз, кого-нибудь, кто возьмётся за диагностику и ремонт, если он ремонтопригоден? Цацка не копеечная, сразу в утиль отправлять будет грустно.
       
      З.Ы.: За 15 лет дружбы с тиками у меня этот первый, кто взял - и сдох на ровном месте(
    • Від alexeya
      Контроллер TP-Link OC200 - 2700 грн (є 4 штуки)
      Точка доступа TP-Link EAP245 - 2900 грн
      Mimosa C5x - 5000 грн (є 2 штуки)
      Mikrotik Groove A-52HPn - 1500 грн
       
      Mikrotik Groove A-52HPn вживана без POE-адаптера - 990 грн

    • Від GMelик
      Вітання! Наперед вибачаюсь з тупі питання! Але мені потрібна допомога з вирішенням проблеми роботи wifi. Загалом ситуація наступна: є офіс куди заведений інтернет, роль маршрутизатора виконує Mikrotik hap ac2 з вимкненими wifi інтерфейсами до якого через кабель підключено кілька пк підмережа та до нього ж підключена точка доступу Mikrotik cAP ax (з своїм dhcp) до якої і підключається більшість ноутбуків/телефонів та інших пристроїв з підтримкою wifi. Проблема наступна: регулярно відбуваються збої в роботі інтернету на пристроях які підключені до точки доступу, інколи просто вилітає віддалений робочий стіл (підключений через vpn), а інколи техніка переключається з 5г мережі на 2г. Спроби пінгувати точку показують що є регулярні стрибки пінга від 1-2 мс до 400-500-600+ мс (міряв як через cmd так і pingplotter) на різних пк, через netmonitor видно що стрибає якість сигналу від 40 до 70-80 і назад, при тому що телефон не переміщається і знаходиться за 2-3м від точки. 



      Спочатку думав на налаштування точки - перепробував різні частоти, нічого не змінилось. Переміщав точку в різні місця - результату 0. Вмикав wifi інтерфейс на прихідному тіку, картина та ж що і на точці. 
      І на 2г і на 5г ситуація плюс мінус однакова. 

      Допоможіть зрозуміти, що може спричиняти такі збої та головне як з цим боротись?
×
×
  • Створити нове...