Критика/Обратная связь по фаерволу Hey team, Hope you're all doing well! Just wanted to share some thoughts on the current firewall setup. It's been working mostly fine, but I've noticed a few things that could potentially be improved. Here's a breakd

Я работаю над улучшением моего файрвола и хотел бы получить обратную связь о том, что ещё стоит добавить. Я прочитал много публикаций и включил то, что мне показалось уместным, в список фильтров. Одна вещь, которую мне ещё нужно выяснить, это цепочка пересылки (forward chain). С текущим списком фильтров, если я в конце цепочки пересылки включу "бросить всё остальное", то начну бросать много разного трафика, который влияет на конечных пользователей (видно, что это DNS и другой трафик). У меня также был вопрос относительно return statements (операторов возврата). Нужно ли их использовать в конце цепочки, к которой я перешёл, или автоматически вернется в исходную точку пересылки после завершения выполнения цепочки? Я бы не подумал, что он вернется, но судя по моим наблюдениям, кажется, что это так. Отсюда и недоумение. Буду признателен за любую обратную связь по поводу следующего списка фильтров файрвола:
Флаги: X - отключено, I - недействительно, D - динамически
0 ;; Бросать чёрные IP-адреса chain=input in-interface=Cloud src-address-list=Black list action=drop
8 ;; Бросать недействительные соединения chain=input connection-state=invalid action=drop
9 ;; Принимать связанные соединения chain=input connection-state=related action=accept
10 ;; Принимать установленные соединения chain=input connection-state=established action=accept
11 ;; !!! Проверять на известные вирусы!!! chain=input action=jump jump-target=virus
12 ;; UDP chain=input protocol=udp action=accept
13 ;; Разрешить ограниченные пинги: 50 за 5 секунд chain=input protocol=icmp limit=50/5s,2 action=accept
14 ;; Бросать избыточные пинги chain=input protocol=icmp action=drop
15 ;; Разрешить соединение Winbox chain=input protocol=tcp dst-port=8291 action=accept
16 ;; TIT1 трафик разрешен chain=input src-address=10.0.0.0/24 action=accept
17 ;; Трафик домашнего офиса разрешен chain=input src-address=192.168.0.0/24 action=accept
18 ;; Логировать и бросать всё остальное chain=input action=log log-prefix=""
19 X ;;; Логировать и бросать всё остальное chain=input action=drop
20 ;;; Бросать недействительные соединения chain=forward connection-state=invalid action=drop
21 ;;; Установленные соединения chain=forward connection-state=established action=accept
22 ;;; Связанные соединения chain=forward connection-state=related action=accept
23 ;;; !!! Проверять на известные вирусы!!! chain=forward action=jump jump-target=virus
24 ;;; UDP chain=forward protocol=udp action=accept
25 ;;; Разрешить ограниченные пинги: 50 за 5 секунд chain=forward protocol=icmp limit=50/5s,2 action=accept
26 ;;; Бросать избыточные пинги chain=forward protocol=icmp action=drop
27 X chain=forward action=drop
28 ;;; Бросать Blaster Worm chain=virus protocol=tcp dst-port=135-139 action=drop
29 X ;;; Бросать Messenger Worm chain=virus protocol=udp dst-port=135-139 action=drop
30 ;;; Бросать Blaster Worm chain=virus protocol=tcp dst-port=445 action=drop
31 ;;; Бросать Blaster Worm chain=virus protocol=udp dst-port=445 action=drop
32 ;;; ________ chain=virus protocol=tcp dst-port=593 action=drop
33 ;;; ________ chain=virus protocol=tcp dst-port=1024-1030 action=drop
34 ;;; Бросать MyDoom chain=virus protocol=tcp dst-port=1080 action=drop
35 ;;; ________ chain=virus protocol=tcp dst-port=1214 action=drop
36 ;;; ndm requester chain=virus protocol=tcp dst-port=1363 action=drop
37 ;;; ndm server chain=virus protocol=tcp dst-port=1364 action=drop
38 ;;; screen cast chain=virus protocol=tcp dst-port=1368 action=drop
39 ;;; hromgrafx chain=virus protocol=tcp dst-port=1373 action=drop
40 ;;; cichlid chain=virus protocol=tcp dst-port=1377 action=drop
41 ;;; Worm chain=virus protocol=tcp dst-port=1433-1434 action=drop
42 ;;; Bagle Virus chain=virus protocol=tcp dst-port=2745 action=drop
43 ;;; Бросать Dumaru.Y chain=virus protocol=tcp dst-port=2283 action=drop
44 ;;; Бросать Beagle chain=virus protocol=tcp dst-port=2535 action=drop
45 ;;; Бросать Beagle.C-K chain=virus protocol=tcp dst-port=2745 action=drop
46 ;;; Бросать MyDoom chain=virus protocol=tcp dst-port=3127-3128 action=drop
47 ;;; Бросать Backdoor OptixPro chain=virus protocol=tcp dst-port=3410 action=drop
48 ;;; Worm chain=virus protocol=tcp dst-port=4444 action=drop
49 ;;; Worm chain=virus protocol=udp dst-port=4444 action=drop
50 ;;; Бросать Sasser chain=virus protocol=tcp dst-port=5554 action=drop
51 ;;; Бросать Beagle.B chain=virus protocol=tcp dst-port=8866 action=drop
52 ;;; Бросать Dabber.A-B chain=virus protocol=tcp dst-port=9898 action=drop
53 ;;; Бросать Dumaru.Y chain=virus protocol=tcp dst-port=10000 action=drop
54 ;;; Бросать MyDoom.B chain=virus protocol=tcp dst-port=10080 action=drop
55 ;;; Бросать NetBus chain=virus protocol=tcp dst-port=12345 action=drop
56 ;;; Бросать Kuang2 chain=virus protocol=tcp dst-port=17300 action=drop
57 ;;; Бросать SubSeven chain=virus protocol=tcp dst-port=27374 action=drop
58 ;;; Бросать PhatBot, Agobot, Gaobot chain=virus protocol=tcp dst-port=65506 action=drop
59 chain=virus action=return