Jump to content
Local
Туйон

Mikrotik настройка firewall

Recommended Posts

Нужны комментарии по поводу настройки фаервола.

Настраиваю очередной интернет-шлюз под заказчика, пользователей около 100, включение/выключение руками (через ip - firewall - address list).

Пробовал разные варианты, и придумал вот что:

 

/ip firewall filter

add action=drop chain=input connection-state=invalid
#блокирует некорректные соединения на вход

add action=drop chain=forward connection-state=invalid
#блокирует некорректные соединения на транзит

add action=accept chain=input src-address-list=Client
#разрешает входящие соединения для пользователей, если ip активен в адрес-листе

add action=accept chain=forward src-address-list=Client
#разрешает транзитные соединения для пользователей, если ip активен в адрес-листе

add action=accept chain=input protocol=icmp
#разрешает входящий ICMP для всех

add action=drop chain=input connection-state=new
#запрет для всех входяших новых соединений, которые не попадают в вышестоящие правила

add action=drop chain=forward connection-state=new
#запрет для всех транзитных новых соединений, которые не попадают в вышестоящие правила

И вроде бы всё работает. Из интернета пинг на шлюз есть, доступа на порты нет, инет для активных ай-пи в адрес-листе работает.

Однако, поразмыслив с коллегами, пришли к сомнениям.

1. Нужны ли первые два правила для резки неких инвалидных соединений? Мне предлагают их выбросить вообще, мол, на работу не влияют, больше для красоты и верности.

2. Моя логика с чередованием input/forward кривая, мол, нужно сначала прописать все intup, потом все forward. Я так пробовал. Визуально начинают дольше грузиться странички. Или же это из-за перестройки и нужно сначала ребутнуть роутер?

3. Нужно в разрешающих правилах разрешать не всё, а только established и related, а в нижних правилах рубить всё, а не только new.

Вот я и задумался.

 

Как бы посоветовали вы?

Edited by Туйон

Share this post


Link to post
Share on other sites
8 часов назад, Туйон сказал:

1. Нужны ли первые два правила для резки неких инвалидных соединений? Мне предлагают их выбросить вообще, мол, на работу не влияют, больше для красоты и верности.

нужны, гуглите зачем это делается

8 часов назад, Туйон сказал:

2. Моя логика с чередованием input/forward кривая, мол, нужно сначала прописать все intup, потом все forward. Я так пробовал. Визуально начинают дольше грузиться странички. Или же это из-за перестройки и нужно сначала ребутнуть роутер?

iptables на каждый пакет проверит все правила дойдя до того которое его явно запретит или разрешит

смотреть схемы работы prerouting, forward, etc какой порядок обработки

или поставить железку достаточно быструю что б не оптимизировать фаер, ну и выкинуть на мороз ROS да, если хочется перфоманса чистого

Edited by l1ght

Share this post


Link to post
Share on other sites
В 13.04.2019 в 10:27, Туйон сказал:

add action=accept chain=input src-address-list=Client #разрешает входящие соединения для пользователей, если ip активен в адрес-листе 

а зачем пользователям доступ к серверу ?

у цепочки chain=input  смысл другой. Пакеты на сам роутер.

Edited by Kovalchukvv

Share this post


Link to post
Share on other sites
2 минуты назад, Kovalchukvv сказал:

а зачем пользователям доступ к серверу ?

у цепочки chain=input  смысл другой. Пакеты с самого роутера.

Только вот на роутер, а не с роутера

Share this post


Link to post
Share on other sites
2 минуты назад, Kovalchukvv сказал:

а зачем пользователям доступ к серверу ?

 

а админу как админить ?

и ДНС как будет работать?

если input это пакеты с самого роутера, то что такое тогда output?

Share this post


Link to post
Share on other sites

не красиво правило звучит.

input трафик на роутер , output  трафик с роутера.

  • Haha 1

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now

  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • By Break
      Продам новый mikrotik rb962
      Не включался!
      Продаю по не надобности так как купил пару rb4011
      Предлагайте цену в личку, готов сегодня передать по Киеву или отправить почтой
      Тел 0996315636
       
    • By Иван Авилов
      Ремонт точек доступа, роутеров , камер , свитчей  Ubiquiti (UBNT), MikroTik , Dahua , Hikvision и другого сетевого оборудования с гарантией.
      Если ваша точка доступа или роутер:
      - не включается;
      - не видна в сети, не пингуется, на точку доступа невозможно зайти;
      - не раздает интернет по Wi-Fi;
      - постоянно обрывает соединение;
      - на роутере или точке стала низкой скорость,
      то, скорее всего, вам необходима помощь квалифицированного специалиста по ремонту.
      Сервисный центр LanService выполняет следующие виды ремонтов оборудования MikroTik и Ubiquiti:
      - перепрошивку точек доступа, восстановление прошивки;
      - замену мелких деталей;
      - ремонт цепей питания;
      - устранение короткого замыкания;
      - замену процессора, LAN-порта, радиомодуля, флеш-памяти и т. д.
      Ремонтируем также точки доступа и роутеры, переставшие работать после грозы.
      Диагностика бесплатно!
      После диагностики оборудования озвучиваются ориентировочные сроки и стоимость ремонта.
      Работаем по всей Украине через Новую Почту.
      Сроки ремонта оборудования Ubiquiti (UBNT), MikroTik:
      - при наличии запчастей - от 2 до 10 дней;
      - при отсутствии запчастей - от 2 до 4 недель.
      Стоимость от 100 грн.
      После ремонта оборудование обязательно тестируется. На выполненные работы - гарантия 1 мес!
      Звоните:
      066-440-73-23
      096-731-98-45
    • By MikroTik-Config
      Профессиональная настройка оборудования Mikrotik: маршрутизаторы(роутеры), точки доступа WiFi, коммутаторы(свитчи):

      - Настройка интернета;
      - Балансировка нагрузки, несколько провайдеров, автопереключение;
      - Настройка маршрутизации;
      - Настройка удаленного доступа VPN: pptp, l2tp, ipsec;
      - Настройка строго FireWall(корпоративный уровень);
      - Создание единой WiFi сети с использованием технологии "бесшовного роуминга" Capsman;
      - Подключение Radius сервера для авторизации VPN, WiFi посредством Active Directory;
      - Подключение к системе мониторинга(БЕСПЛАТНАЯ ОПЦИЯ)

      и многое другое. 

      Работаю без выходных.

      БЕЗ привязки к региону! Работаем по всей Украине: Винница, Луцк, Днепр, Донецк, Житомир, Ужгород, Запорожье, Ивано-Франковск, Киев, Кропивницкий(Кировоград), Луганск, Львов, Николаев, Одесса, Полтава, Ровно, Суммы, Тернополь, Харьков, Херсон, Хмельницкий, Черкассы, Чернигов, Черновцы.
    • By Vingpon
      Продам Mikrotik CCR1036-8G-2S+ новый брался для резерва не использовался цена 20 000 грн.



    • By linki
      Нужна помощь в настройке capsman на routerboard и двух точек. В также нужно настроить два порта на приём двух каналов интернета. Использоваться будет один, другой для подхвата если ляжет основной.
      Цена вопроса 600грн 
       
×