Перейти до

Mikrotik настройка firewall


Рекомендованные сообщения

Нужны комментарии по поводу настройки фаервола.

Настраиваю очередной интернет-шлюз под заказчика, пользователей около 100, включение/выключение руками (через ip - firewall - address list).

Пробовал разные варианты, и придумал вот что:

 

/ip firewall filter

add action=drop chain=input connection-state=invalid
#блокирует некорректные соединения на вход

add action=drop chain=forward connection-state=invalid
#блокирует некорректные соединения на транзит

add action=accept chain=input src-address-list=Client
#разрешает входящие соединения для пользователей, если ip активен в адрес-листе

add action=accept chain=forward src-address-list=Client
#разрешает транзитные соединения для пользователей, если ip активен в адрес-листе

add action=accept chain=input protocol=icmp
#разрешает входящий ICMP для всех

add action=drop chain=input connection-state=new
#запрет для всех входяших новых соединений, которые не попадают в вышестоящие правила

add action=drop chain=forward connection-state=new
#запрет для всех транзитных новых соединений, которые не попадают в вышестоящие правила

И вроде бы всё работает. Из интернета пинг на шлюз есть, доступа на порты нет, инет для активных ай-пи в адрес-листе работает.

Однако, поразмыслив с коллегами, пришли к сомнениям.

1. Нужны ли первые два правила для резки неких инвалидных соединений? Мне предлагают их выбросить вообще, мол, на работу не влияют, больше для красоты и верности.

2. Моя логика с чередованием input/forward кривая, мол, нужно сначала прописать все intup, потом все forward. Я так пробовал. Визуально начинают дольше грузиться странички. Или же это из-за перестройки и нужно сначала ребутнуть роутер?

3. Нужно в разрешающих правилах разрешать не всё, а только established и related, а в нижних правилах рубить всё, а не только new.

Вот я и задумался.

 

Как бы посоветовали вы?

Відредаговано Туйон
Ссылка на сообщение
Поделиться на других сайтах
8 часов назад, Туйон сказал:

1. Нужны ли первые два правила для резки неких инвалидных соединений? Мне предлагают их выбросить вообще, мол, на работу не влияют, больше для красоты и верности.

нужны, гуглите зачем это делается

8 часов назад, Туйон сказал:

2. Моя логика с чередованием input/forward кривая, мол, нужно сначала прописать все intup, потом все forward. Я так пробовал. Визуально начинают дольше грузиться странички. Или же это из-за перестройки и нужно сначала ребутнуть роутер?

iptables на каждый пакет проверит все правила дойдя до того которое его явно запретит или разрешит

смотреть схемы работы prerouting, forward, etc какой порядок обработки

или поставить железку достаточно быструю что б не оптимизировать фаер, ну и выкинуть на мороз ROS да, если хочется перфоманса чистого

Відредаговано l1ght
Ссылка на сообщение
Поделиться на других сайтах
В 13.04.2019 в 10:27, Туйон сказал:

add action=accept chain=input src-address-list=Client #разрешает входящие соединения для пользователей, если ip активен в адрес-листе 

а зачем пользователям доступ к серверу ?

у цепочки chain=input  смысл другой. Пакеты на сам роутер.

Відредаговано Kovalchukvv
Ссылка на сообщение
Поделиться на других сайтах
2 минуты назад, Kovalchukvv сказал:

а зачем пользователям доступ к серверу ?

у цепочки chain=input  смысл другой. Пакеты с самого роутера.

Только вот на роутер, а не с роутера

Ссылка на сообщение
Поделиться на других сайтах
2 минуты назад, Kovalchukvv сказал:

а зачем пользователям доступ к серверу ?

 

а админу как админить ?

и ДНС как будет работать?

если input это пакеты с самого роутера, то что такое тогда output?

Ссылка на сообщение
Поделиться на других сайтах
  • 10 months later...

Всем привет. 

Дабы не плодить тему апну эту своим вопросом. 

Есть Микрот rb4011 чуть ли не в дефолтном конфиге.

Проблема в том, что он не натити исходящий sip трафик. 

Пробовал и маскарад и сорс-нат. Отключение сип в сервис портах ни на что не влияет.

Что не делаю пакеты к аплинку уходят с локальным адресом в сорс адрес. 

Было у кого такое? куда копать? 

Ссылка на сообщение
Поделиться на других сайтах

копать в сторону "mikrotik sip не работает" и в сторону "пакеты к аплинку уходят с локальным адресом"

Відредаговано Dimkers
Ссылка на сообщение
Поделиться на других сайтах

Вроде заработало. 
Зашел в ip firewall connection, отфильтровал коннекшины по адресу сервера, дропнул коннекшин и сразу все начало натиться. 

Ссылка на сообщение
Поделиться на других сайтах
1 час назад, tkapluk сказал:

Вроде заработало. 
Зашел в ip firewall connection, отфильтровал коннекшины по адресу сервера, дропнул коннекшин и сразу все начало натиться. 


Тю, как будто первый день с некротиком и трекингом коннектов.

  • Sad 1
Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • Від viktorrc17
      Підкажіть. Така ситуація.
      Роутер Mikrotik працює від ups.
      Провайдер Київстар.
      При відключенні ел енергії, інтернет працює поки не здохнуть акуми на якомусь з вузлів у провайдера.
      Після включення ел.енергіії, інтернет не працює, допомагає перезавантаження роутера, або оновлення ip адреси.
      Що можна з цим зробити?
    • Від WIFINS
      Можливо комусь потрібно. Продам MIKROTIK б/в в основному серія SXT, є не багато SQ та декілька DISC. Всі з рівнем ліцензії 3.  Є на 2 ,4 GHz і на 5 GHz. Ціна 380 грн за штуку (до 5 шт). Більше 5 штук - 350 грн за штуку. Укомплектовані блоком живлення та POE інжектором. Зв'язок через ЛС.
    • Від G_ua
      Доброго дня всім!
      Підскажіть, можливо хтось стикався з проблемою:
      На мікротіку IKEv2, тільки для андроід клієнтів. ip адреси видаються з пула dhcp, тобто пула локальної мережі (192.168.1.0/24). При підключенні все працює, кліенти бачать інші vpn мережі (192.168.10.0/24, 192.168.11.0/24) але не бачать локальної, тобто 192.168.1.0/24, з неї вони отримують dhcp при підключенні. Якщо видати кліенту, на приклад, 11.0.0.0/24, любу мережу відмінну від локальної, ми бачим всі адреси в діапазоні 192.168.1.0/24, але не бачимо vpn (бо з тої сторони vpn нема маршруту в мережу 11.0.0.0/24).
      Чи можливо щоб при підключенні андроід кліенти отримували ip з мережі 192.168.1.0/24 та могли підключитися на ресурси цієї мережі, на ...1.2 до прикладу. Тобто воно не  маршрутизує в мережу з якої ми отримаємо адресу, але бачить по дефолту любу відмінну від ...1.0 мережу.
      Клієнт аднроід StrongSwan.
    • Від denisluk
      Вітаю шановне товариство! Маю напіввирішену проблему з вищевказаним провайдером і EPON підключенням.
      Суть проблеми полягає в тому що періодично і рандомно на Мікротіку відвалюється з'єднання і самостійно відновлюється.
      Сетап: 1) ONU Picotel PU-E910, 2) Mikrotik HEX
       
      Тріолан наливає інет зі статичною адресою і прив'язкою по МАС. 
      На мікроті все стандартно: виділив порт під WAN, насетапив адресу, склонував МАС ноута (спочатку по швидкому тестили інет на ноуті тому його МАС і вбили в білінг), правило НАТу вписав - інет є. 
      Потім рандомно почав відвалюватись інет. В логах геть нічого. Порт мікрота не змінював статус. 
      Перевірив налаштування - все типово. І ніяких глюків чи помилок не виявлено.
      Заміна порта мікрота, прошивка, заміна на інший мікрот (новий з коробки зі скинутим конфігом, налаштований лише з одним правилом НАТу) ніяк не покращили ситуацію. 
      Представник саппорта прийшов і замінив ОНУшку. Теж не допомогло. При спілкуванні представника саппорта по телефону з мережевим інженером з'ясувалось що відвал стається саме тоді, коли мікрот перестає передавати свій МАС. Не бачимо маку, нема авторизації, логічно. 
      З ноутом на пряму все працює без зауважень. На моє питання: "що може бути?" представник саппорта розвів руками і запропонував роутер "не мікротік")))) Мене такий варік не влаштовує, тому що на моєму роутері побудована і пачка тунелів на роботу і до батьків. 
      Почав розбиратись сам, що пробував: 1) ставити чек гетвея пінгами, 2) чек arp запитами, 3) отримувати адресу і по дхцп (так, писав про статику, знаю. Але це рекомендація Тріолану. Взагалі у них працює ДХЦП, але при зникненні світла з ДХЦП є проблеми в них. Тому лишився на статиці), 4) інші мікроти, 5) інші блоки живлення, 6) інші кабелі utp. Все це не мало позитивного результату і не міг відслідкувати що саме спричиняє проблему. 
       
      Що допомогло: 1) створив брідж. 2) на брідж прописав майстер-МАС який закріплений в білінгу, 3) відключив на цьому бріджі оновлення МАС, 4) на цей брідж прописав адресу і т.д. 4) вкинув порт, до якого підключена ОНУ, в цей брідж без ніяких налаштувань взагалі, 5) правило срцнат. 
      Диво, все працює і аптайм уже більше тижня. При спілкуванні з саппортом все ОК, вони бачать валідний МАС (МАС бріджа).
       
      Шановне товариство, допоможіть розібратись: чому схема яка допомогла - працює, а типове налаштування веде до обривів? Дякую за ідеї.
       
       
       
    • Від GekaPeka
      MikroTik PowerBox Pro (RB960PGS-PB), новый, в упаковке. Цена: 2800 грн.
×
×
  • Створити нове...