Настройка Firewall Mikrotik

[tratata13]

Ребят подскажите какие из этих 2 вариантов настройки Фаервола лучше,просто не особо шарю,инфа взята из 2х источников найденных в любимом гугле:

/ip firewall filter
add chain=input protocol=icmp action=accept comment=”Allow Ping”
add chain=forward protocol=icmp action=accept
add chain=input connection-state=established action=accept comment=”Accept established connections”
add chain=forward connection-state=established action=accept
add chain=input connection-state=related action=accept comment=”Accept related connections”
add chain=forward connection-state=related action=accept
add chain=input connection-state=invalid action=drop comment=”Drop invalid connections”
add chain=forward connection-state=invalid action=drop
add chain=input protocol=udp action=accept comment=”Allow UDP”
add chain=forward protocol=udp action=accept
add chain=forward src-address=192.168.0.0/24 in-interface=bridge1 action=accept comment=”Access to Internet from local network”
add chain=input src-address=192.168.0.0/24 action=accept comment=”Access to Mikrotik only from our local network”
add chain=input action=drop comment=”All other drop”
add chain=forward action=drop

или это:

/ip firewall filter
add chain=input protocol=icmp
add chain=input comment=ESTABLISHED connection-state=established
add chain=input comment=RELATED connection-state=related
add action=drop chain=input comment=ALL_OTHER--DROP in-interface=ether1
add action=drop chain=forward comment=DROP_INVALID connection-state=invalid
add chain=forward comment=ESTABLISHED connection-state=established
add chain=forward comment=RELATED connection-state=related
add action=drop chain=forward comment=ALL_OTHER--DROP in-interface=ether1

[-=winner=-]

а какие задачи то? что закрывать или фильтровать собираетесь?

[prototip]

Ну тут ведь так сказать клинический случай .  Мы ведь не телепаты , первый вариант более полный , но мы ведь не знаем совпадают ли названия ваших интерфейсов и диапазоны применяемых адресов , в первом случае явно видно , что используется мост на каких то интерфейсах .  Микротик тем и хорош , что дупля не отбивая в фаерволе с помощью графической оболочки типа винбокса можно с легкостью освоить принцип и порядок его работы наглядно .

[tratata13]

Он просто стоит дома,я абонент интернет сети по l2tp протоколу,2,3,4 порты и wlan1 в бридже с пулом 192.168.0.2-192.168.0.254.5 порт с отдельным пулом 10.5.50.2-10.5.50.254 для Вайфая на улице 2.4Ghz( Направленная антена ubiquiti,чтоб было весело пивко во дворе пить) 

Відредаговано 10 березня, 2015 tratata13

[Туйон]

Тогда зачем вам вообще этот фаервол сдался?

Или есть какие-то проблемы  с сетью?
Я бы попивал себе весело пивко и меньше заморачивался.

[vitecc]

))) 3 последний норм вариант 

[tratata13]

Было бы так все просто,провайдер злится,угрожает)во всем дворе вайфай бесплатный)))уже некоторые платить перестали)

[John_Doe]

Было бы так все просто,провайдер злится,угрожает)во всем дворе вайфай бесплатный)))уже некоторые платить перестали)

а WPA вам знакомо? в своем домашнем роутере фаирвол нафик ненада. хватит и дефолтного с нат

[tratata13]

Да все равно,чувствую себя как хер без презерватива,незащищенно,малоли кто-нибудь что-нибудь захочет сделать)WPA?Я всему двору раздаю вайфай без пароля,в этом и есть необходимость!

[Туйон]

Так вы хотите раздавать всему двору вайфай без пароля и при этом думаете что провайдер сломает микрот?

[tratata13]

Ну не сломает но пакостить думаю может)

[Туйон]

ИМХО, фаервол тут не поможет.

Будете отбивать клиентов от провайдера - надавят другим способом.

Вообще, как-то странно спрашивать на форуме провайдеров совет, как избежать наказания от провайдера :-)

[John_Doe]

лимиты поставит на сессии. как раз для таких ситуаций вариант. и сразу вспомните и про WPA и про другие вещи

[tratata13]

Ах да...у меня другой провайдер))))))и единсвенное что они могут так это засерать эфир)

[tratata13]

Зона АТО,Волонтер,делаю людям добро)

[BARVIT]

Зона АТО,Волонтер,делаю людям добро)

Засерая эфир.... и гадя провайдеру.

 

Ах да...у меня другой провайдер))))))и единсвенное что они могут так это засерать эфир)

Ну вы то спец в телекомуникациях... Вы можете ого-го.

[tratata13]

Не соглашусь,я на свободной частоте,и против них ничего не имею,просто жест доброй воли тем людям которым на хлеб не хватает,приходили монтажники с этого провайдера,у которого абоненты перестали платить,грозились что мне плохо будет,в ответ были посланы,мой интернет,что хочу то и делаю.

[Туйон]

 

 

мой интернет,что хочу то и делаю.

Поеду сегодня пьяным кататься. Моя машина - что хочу то и делаю.

Парень, тебе не кажется, что ты малость не прав?

Ты считаешь, что делаешь лучше кому-то, но при этом ты лишаешь провайдера клиентов.

Сомнительное робингудство.

[BARVIT]

Та да, с таким робингудством бороться нужно. Провайдеры не люди, они кушать не хотят, созданы чтоб за бесценок интернет наливать, мало того что и так цены ниже плинтуса, еще и робингуды доморощенные... Реально ситуация по ценам - абонент торгует на базаре рыбой сушенной, и стоит возмущается, что мы подняли цены. подходит покупатель и спрашивает по чем бычки - тот ему 15грн штучка. Я ах...ел. Говорю бл@#ь вам подняли цену на 3 бычка, вы котам на базаре в день больше скармливаете, зато вони на весь город что цены подняли.

Відредаговано 10 березня, 2015 BARVIT

[l1ght]

Та да, с таким робингудством бороться нужно. Провайдеры не люди, они кушать не хотят, созданы чтоб за бесценок интернет наливать, мало того что и так цены ниже плинтуса, еще и робингуды доморощенные... Реально ситуация по ценам - абонент торгует на базаре рыбой сушенной, и стоит возмущается, что мы подняли цены. подходит покупатель и спрашивает по чем бычки - тот ему 15грн штучка. Я ах...ел. Говорю бл@#ь вам подняли цену на 3 бычка, вы котам на базаре в день больше скармливаете, зато вони на весь город что цены подняли.

Ну ти частково правий, а взагалі такі моменти в договорі прописуються, що перероздача інтернету - заборонена, карається розторгненням договору с зупинненям послуги, і все.

Якщо там договору нема - то така піонерія, що сама десь бере домашній канала та вай фаєм гоне і продає - навіть заслуговує таких абонентів ІМХО.

[tratata13]

Та лан я шучу,начали тут уже без меня "фаершоу" просто хочу фаервол настроить немного,ни 1 правила не прописано!

[l1ght]

Та лан я шучу,начали тут уже без меня "фаершоу" просто хочу фаервол настроить немного,ни 1 правила не прописано!

отже воно вам не потрібно.

[Agronomist]

 

Та лан я шучу,начали тут уже без меня "фаершоу" просто хочу фаервол настроить немного,ни 1 правила не прописано!

отже воно вам не потрібно.

 

Та хай вже напише, раз нема)).

Типу : Chain: forward, Src. afdress: своя сеть (типа 192.168.88.0/24), Action: Drop. 

Це таке круте правило! Дуже добре захищає мікротик. Рекомендую!!!

[Agronomist]

Как я понял, юмор не заценили. Извините. Больше не шучу.

А по поводу настроек: чем больше записей, тем тормознутее будет интернет. Так что каждая запись вносится строго по какой-то необходимости.

Например, у меня в сети маленького общежития постоянно "что-то" грузило интернет канал вплоть до 100% загрузки CPU. Потом выяснилось, что причиной был всем любимый видео плеер The KMPlayer, который лез на какие-то китайские IP. То ли это была заражённая версия, то ли что другое- не разбирался, просто заблочил. 
Наблюдалась проблема с трафиком TCP/UDP по 53 порту на WAN. Тоже заблочено. 

Фаерволом у меня ограничен лимит соединений до 40 по всем портам, кроме 80, 8080, 443 (долго не мог побороть торентокачальщиков, а потом плюнул и резанул все).

Если чего надо подробнее- могу помочь подробнее расписать.

 

А так, L1ght прав: если все работает- лезть туда не надо ИМХО.

[l1ght]

@@Agronomist, вернул отнятый рейтинг, не нужно так шутить.

как говорится грешно смеятся.