Основные принципы конфигурирования Firewall в MikroTik.

Firewall (брандмауэр) в MikroTik – это инструмент, который позволяет фильтровать, перенаправлять и контролировать сетевой трафик. Он используется для защиты сети от несанкционированного доступа, ограничения доступа к определенным ресурсам и балансировки нагрузки.

Основные принципы работы Firewall в MikroTik

Фильтрация трафика осуществляется с помощью правил в разделе IP -> Firewall -> Filter Rules. Правила обрабатываются сверху вниз, и как только пакет соответствует какому-либо правилу, дальнейшая обработка может быть остановлена.

input – для входящего трафика (доступ к самому MikroTik).

output – для исходящего трафика от MikroTik.

forward – для трафика, проходящего через роутер (LAN <-> WAN)

- Protocol – тип протокола (TCP, UDP, ICMP и др.).

- Src. Port / Dst. Port – порты источника и назначения.

- In. Interface / Out. Interface – входящие и исходящие интерфейсы.

- Action – действие над пакетом (accept, drop, reject и др.).

Основные настройки защиты сети

1. Запрещаем доступ к роутеру из интернета

Чтобы заблокировать несанкционированный доступ к самому MikroTik:

1) Заходим в IP -> Firewall -> Filter Rules.

2) Создаем новое правило (+):

Chain: input

In. Interface: WAN (интерфейс с интернетом)

Action: drop

Comment: "Block external access

Добавим правило, которое разрешает доступ с внутренней сети:

1. Chain: input

2. Src. Address: 192.168.1.0/24 (локальная сеть)

3. Action: accept

4. Comment: "Allow local access"

3. Защита от пинга (ICMP-флуд)

Атакующие могут перегружать ваш роутер частыми ICMP-запросами. Чтобы ограничить частоту пингов:

1. Chain: input

2. Protocol: icmp

3. Action: accept

4. Advanced -> Limit: 5,5 (не более 5 пакетов в секунду)

5. Comment: "Limit ICMP requests"

4. Открытие порта для определенной службы

Если нужно разрешить доступ к определенному сервису, например, к веб-серверу (порт 80):

1. Chain: forward

2. Dst. Port: 80

3. Protocol: tcp

4. In. Interface: WAN

5. Dst. Address: 192.168.1.100 (IP веб-сервера)

6. Action: accept

7. Comment: "Allow HTTP access"

5. Блокировка всех остальных подключений

Чтобы закрыть все нежелательные подключения после разрешающих правил, добавьте следующее правило:

1. Chain: forward

2. Action: drop

3. Comment: "Block all other traffic"

Проверка работы Firewall

Проверить работу можно с помощью логирования трафика:

1. Открываем IP -> Firewall -> Filter Rules.

2. Выбираем нужное правило.

3. Включаем Log (журналирование).

4. Заходим в Log (System -> Log) и анализируем записи.