Запросы на функции: списки портов и несколько списков адресов в правиле фильтрации

Да, очень интересная вещь. Хочу что-то вроде модели объектов Cisco ASA для правил файрвола, что-то, что позволяет задавать объекты сервисов, группы объектов, группы для TCP/UDP портов и так далее.

Конечно, цепочки — это то, что я использую сейчас. Но всё же я вижу возможность сократить количество этапов обработки в файрволе. Хотя для меня это не критично.

Если вам нужно, чтобы IP был в list_X, list_Y или list_Z → действие, то можно сделать цепочку для этих трёх списков. Все остальные критерии, например номер порта, nth, время суток и т.д., ставятся в проверку прыжка, и если все остальные условия истинны → переход к цепочке multi_list_check:

multi 1) list_X → действие  
multi 2) list_Y → действие  
multi 3) list_Z → действие  
multi 4) return

Думаю, это будет лишь номинально медленнее, чем одно правило, проверяющее все три списка, потому что под капотом одно правило всё равно проверяло бы каждый список по отдельности. Если нужно поведение «И», достаточно просто инвертировать логику, чтобы получить желаемый результат:

multi 1) !list_X → return  
multi 2) !list_Y → return  
multi 3) !list_Z → return  
multi 4) действие

Ещё один плюс отдельной цепочки в том, что её можно вызвать из любой другой цепочки в той же таблице. Это не так удобно переносится, как address-lists, но достаточно гибко. Наверное, если бы была возможность указывать несколько списков IP сразу, я бы ожидал поведение «ИЛИ», чтобы соответствовать другим подобным полям (например, dst-port=xxxx,yyyy,zzzz — это как раз поведение «ИЛИ»).

@fmarais007, не мог бы ты показать пример кода, как использовать «несколько списков IP» в правиле фаервола с помощью кастомной цепочки? Сейчас я не очень хорошо разбираюсь в Mikrotik... спасибо. В моём примере у меня несколько списков IP, и я хотел бы сделать одно правило srcnat для нескольких списков IP, вместо того чтобы повторять по 5 правил srcnat для каждого списка IP.