Блокировка порта на роутере.

Я настроил протокол, но подключения все равно приходят. Флаги: X - отключено, I - недействительно, D - динамический.

;;; Отбрасывать внешние запросы прокси chain=input in-interface=ether1 protocol=tcp dst-port=8080 action=drop

Есть еще какие-нибудь идеи?

Я посмотрел на те вещи, которые ты предложил, но это не помогает мне понять, как переписать правило брандмауэра. Если я отправлю тебе файл supout, ты сможешь увидеть, почему я не могу заблокировать трафик с ether1, обращающийся к прокси на порту 8080? Я хочу заблокировать это на брандмауэре, потому что я использую логи веб-прокси для определенных целей, но я не хочу видеть записи, где action=deny для этих людей с ether1. Поэтому я хочу, чтобы брандмауэр это запретил. Пожалуйста, помоги.

Я понимаю, что ты говоришь. Моя проблема в том, что люди в интернете постоянно пытаются использовать мой прокси. Я уже запретил им это правилом в "ip proxy access", и они успешно блокируются. Я понимаю это. Но я не хочу, чтобы они вообще видели этот прокси!!! Я хочу, чтобы файрвол блокировал их запросы к прокси, чтобы мне не приходилось смотреть на все записи в логах каждый раз, когда они пытаются подключиться к прокси и получают отказ. Я добавил правило в файрвол, как указано выше, но запросы всё равно видны прокси, вместо того, чтобы файрвол их отбрасывал. Что я могу сделать, чтобы это остановить? Спасибо.

Ну что, не работает. Посмотри сам. Зайди на http://64.105.225.181:8080. Это роутер, и правило, которое ты указал, есть во входящей цепочке, но оно всё равно попадает на прокси…

Серж: Вот мои настройки файрвола для защиты роутера. Можешь, пожалуйста, объяснить, где я разрешаю доступ пользователям, не указанным в правиле как "Local LAN". Я разрешил доступ только тем адресам, которые перечислил, как ты и предлагал.
/ip firewall filter add chain=input protocol=tcp dst-port=80 in-interface=ether1 action=drop comment="Drop external proxy request" disabled=no
/ip firewall filter add chain=input protocol=tcp dst-port=8080 in-interface=ether1 action=drop comment="Drop external proxy request" disabled=no
/ip firewall filter add chain=input connection-state=established action=accept comment="Accept established connections"
/ip firewall filter add chain=input connection-state=related action=accept comment="Accept related connections"
/ip firewall filter add chain=input connection-state=invalid action=drop comment="Drop invalid connections"
/ip firewall filter add chain=input protocol=tcp psd=21,3s,3,1 action=drop comment="detect and drop port scan connections"
/ip firewall filter add chain=input protocol=tcp connection-limit=3,32 src-address-list=black_list action=tarpit comment="suppress DoS attack"
/ip firewall filter add chain=input protocol=tcp connection-limit=10,32 action=add-src-to-address-list address-list=black_list address-list-timeout=1d comment="detect DoS attack"
/ip firewall filter add chain=input protocol=udp action=accept comment="UDP" disabled=no
/ip firewall filter add chain=input protocol=icmp limit=50/5s,2 action=accept comment="Allow limited pings"
/ip firewall filter add chain=input protocol=icmp action=drop comment="Drop excess pings"
/ip firewall filter add chain=input protocol=tcp dst-port=22 action=accept comment="SSH for hypewifi secure shell"
/ip firewall filter add chain=input src-address=10.100.2.0/24 action=accept comment="Local LAN"
/ip firewall filter add chain=input src-address=10.200.2.0/24 action=accept comment="Local LAN"
/ip firewall filter add chain=input src-address=10.10.10.0/24 action=accept comment="Local Admin"
/ip firewall filter add chain=input protocol=tcp in-interface=ether1 dst-port=22 action=accept comment=" Outside SSH for hypewifi secure shell"
/ip firewall filter add chain=input protocol=tcp in-interface=ether1 dst-port=21 action=accept comment=" Outside ftp when enabled"
/ip firewall filter add chain=input dst-port=1723 action=accept
/ip firewall filter add chain=input action=drop comment="Drop everything else"

Спасибо.

Да, каждый раз, когда ты заходишь по ссылке, которую я прислал, тебе снова отказывают в доступе.

К сведению всех. Эта проблема не решена. Брандмауэр Mikrotik не блокирует входящий трафик к прокси-сервису на роутере на портах 80 и 8080, как должен в соответствии с настроенными правилами брандмауэра. Очевидно, что есть серьезная проблема, из-за которой правила брандмауэра не применяются к трафику, направленному к прокси-сервису. Неважно, могут ли правила доступа к прокси предотвратить использование прокси, брандмауэр должен вообще не позволять им взаимодействовать с прокси-сервисом!!! Это ошибка. Нужно исправить.

Нельзя блокировать пользователей через файрвол, потому что правила файрвола пропускаются из-за DST-NAT правил, необходимых прокси… Посмотрите на раздел "Поток пакетов" в документации, это не ошибка. http://www.mikrotik.com/docs/ros/2.9/ip/flow. Если вы хотите запретить пользователям доступ к прокси, я думаю, это делается в разделе ACCESS в меню Proxy. Я не уверен, так как особо прокси не использовал. Ссылайтесь на документацию. Или переопределите область правила DST-NAT, чтобы оно NAT'ило трафик только на интерфейсе, через который вы проксируете. Я думаю, это будет исправлением.