Доступ и ограничения RB1200

Есть 2 школы мысли относительно файрвола: либо полный отказ/блокировка на внешнем адресе и разрешать только конкретные IP-адреса и порты (это безопаснее, но больше вероятность сломать что-нибудь), либо принимать все пакеты и блокировать только опасные (это менее безопасно, но гораздо меньше шансов что-нибудь сломать). Можно создавать правила файрвола в цепочке INPUT и опционально применять их только к внешнему/WAN-адресу или глобально. Создавайте конкретные правила ACCEPT извне и явные правила REJECT/DROP на этих портах ПОСЛЕ правила разрешения. Небольшой совет: убедитесь, что при создании правил разрешения вы проверяете подключение извне и изнутри, и что они попадают в нужные цепочки, иначе есть вероятность заблокировать себя. Не забудьте включить внутренние IP-адреса/подсети, которые вы хотите использовать для настройки/доступа к роутеру. Используйте ограничение скорости (rate limiting) для ICMP, чтобы замедлять любые ICMP-атаки, но разрешите ICMP для сетевой связи и диагностического тестирования. Я обычно предпочитаю использовать jump targets, потому что со временем моя конфигурация файрвола становится загромождённой. Отключайте ненужные сервисы и используйте nmap для сканирования TCP+UDP (если перед ним нет IPS/IDS) и grc для тестирования правил файрвола. Настоятельно рекомендую ознакомиться со статьёй "Securing New RouterOS": http://wiki.mikrotik.com/wiki/Securing_New_RouterOs_Router