Mikrotik.moscow [тема: Мой файрвол настроен нормально?]

Mikrotik.moscow [тема: Мой файрвол настроен нормально?] http://mikrotik.moscow Новое в теме Мой файрвол настроен нормально? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 16 Aug 2026 15:06:26 -0400 Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
ether2 - статический WAN, ether7 - DHCP сервер. Включены NTP клиент и IGMP прокси. Сейчас выглядит так:

FILTER 0
;;; отбрасывать недействительные соединения
chain=input action=drop connection-state=invalid
1
;;; отбрасывать недействительные соединения
chain=forward action=drop connection-state=invalid
2
;;; отбрасывать по списку bogons
chain=forward action=drop dst-address-list=bogons in-interface=ether2
3
;;; обнаруживать DoS атаку
chain=input action=add-src-to-address-list protocol=tcp address-list=black_list address-list-timeout=1d connection-limit=10,32
4
;;; подавлять DoS атаку
chain=input action=tarpit protocol=tcp src-address-list=black_list connection-limit=3,32
5
;;; сканеры портов в список
chain=input action=add-src-to-address-list protocol=tcp psd=21,3s,3,1 address-list=Port_scanners address-list-timeout=1w in-interface=ether2
6
;;; NMAP FIN stealth scan
chain=input action=add-src-to-address-list tcp-flags=fin,!syn,!rst,!psh,!ack,!urg protocol=tcp address-list=Port_scanners address-list-timeout=1w
7
;;; SYN/FIN scan
chain=input action=add-src-to-address-list tcp-flags=fin,syn protocol=tcp address-list=Port_scanners address-list-timeout=1w
8
;;; SYN/RST scan
chain=input action=add-src-to-address-list tcp-flags=syn,rst protocol=tcp address-list=Port_scanners address-list-timeout=1w
9
;;; FIN/PSH/URG scan
chain=input action=add-src-to-address-list tcp-flags=fin,psh,urg,!syn,!rst,!ack protocol=tcp address-list=Port_scanners address-list-timeout=1w
10
;;; ALL/ALL scan
chain=input action=add-src-to-address-list tcp-flags=fin,syn,rst,psh,ack,urg protocol=tcp address-list=Port_scanners address-list-timeout=1w
11
;;; NMAP NULL scan
chain=input action=add-src-to-address-list tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg protocol=tcp address-list=Port_scanners address-list-timeout=1w
12
;;; отбрасывать по списку сканирования портов
chain=input action=drop src-address-list=Port_scanners
13
;;; добавлять IP-адрес SYN Flood в список
chain=input action=add-src-to-address-list tcp-flags=syn protocol=tcp address-list=Syn_Flooder address-list-timeout=30m connection-limit=30,32
14
;;; отбрасывать по списку SYN flood
chain=input action=drop src-address-list=Syn_Flooder
15
;;; разрешать IPTV трафик в роутер, IGMP прокси
chain=input action=accept protocol=igmp src-address=10.0.0.0/8 dst-address=224.0.0.0/4 in-interface=ether2
16
;;; разрешать IPTV трафик в роутер, IGMP прокси
chain=input action=accept protocol=udp src-address=10.0.0.0/8 dst-address=224.0.0.0/4 in-interface=ether2
17
;;; разрешать всё с LAN
chain=input action=accept src-address=192.168.1.0/29 in-interface=ether7
18
;;; разрешать уже установленные соединения
chain=input action=accept connection-state=established
19
;;; отбрасывать всё
chain=input action=drop
20
;;; разрешать новые соединения из LAN
chain=forward action=accept connection-state=new src-address=192.168.1.0/29
21
;;; разрешать уже установленные соединения из LAN
chain=forward action=accept connection-state=established
22
;;; разрешать связанные соединения из LAN
chain=forward action=accept connection-state=related
23
;;; IPTV
chain=forward action=accept protocol=udp src-address=10.0.0.0/8 dst-address=224.0.0.0/4
24
;;; отбрасывать всё
chain=forward action=drop
NAT 0
chain=srcnat action=masquerade src-address=192.168.1.0/29 out-interface=ether2
LIST ADDRESS TIMEOUT
0
;;; Self-Identification [RFC 3330]
bogons 0.0.0.0/8
1
X
;;; Private[RFC 1918] - CLASS A # Проверьте, нужна ли эта подсеть перед включением ее
bogons 10.0.0.0/8
2
;;; Loopback [RFC 3330]
bogons 127.0.0.0/16
3
;;; Link Local [RFC 3330]
bogons 169.254.0.0/16
4
;;; Private[RFC 1918] - CLASS B # Проверьте, нужна ли эта подсеть перед включением ее
bogons 172.16.0.0/12
5
X
;;; Private[RFC 1918] - CLASS C # Проверьте, нужна ли эта подсеть перед включением ее
bogons 192.168.0.0/16
6
;;; Reserved - IANA - TestNet1
bogons 192.0.2.0/24
7
;;; 6to4 Relay Anycast [RFC 3068]
bogons 192.88.99.0/24
8
;;; NIDB Testing
bogons 198.18.0.0/15
9
;;; Reserved - IANA - TestNet2
bogons 198.51.100.0/24
10
;;; Reserved - IANA - TestNet3
bogons 203.0.113.0/24
11
X
;;; MC, Class D, IANA # Проверьте, нужна ли эта подсеть перед включением ее
bogons 224.0.0.0/4

Это всё верно? Может, правила в неправильном порядке или я что-то забыл? Нужно ли добавить это правило? И в чём практическое назначение этого правила?

add
chain=input
src-address=127.0.0.1
dst-address=127.0.0.1
action=accept
comment=“accept localhost”
disabled=no

Почему счетчик NAT показывает неверные значения?
17.01.2014 21:30:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214610 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214610 Fri, 17 Jan 2014 21:30:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Минимальный набор примеров правил пересылки пакетов, которые стоит добавить: LAN > WAN - Разрешать новые подключения, разрешать связанные подключения, разрешать установленные соединения, отбрасывать остальной трафик. Также стоит посмотреть: http://wiki.mikrotik.com/wiki/Securing_New_RouterOs_Router
17.12.2013 15:00:00, CelticComms.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214609 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214609 Tue, 17 Dec 2013 15:00:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Я посмотрел эту страницу, но там примеры объяснены как-то не очень. Если мне нужно заблокировать любые подключения, инициированные извне, к роутеру и LAN, как мне изменить конфиг? И почему вообще ничего не сказано про NAT?
17.12.2013 14:24:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214608 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214608 Tue, 17 Dec 2013 14:24:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Если трафик используется непосредственно на роутере (например, IGMP Proxy), то он должен проходить через цепочку входных правил. Посмотрите информацию о фильтрах здесь: http://wiki.mikrotik.com/wiki/Manual:IP/Firewall/Filter
17.12.2013 14:08:00, CelticComms.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214607 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214607 Tue, 17 Dec 2013 14:08:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Ну вот скажи тогда, почему мой IPTV не работает без добавления двух правил, как я описал выше? Чтобы IPTV заработал, я добавил эти два правила и IGMP-Proxy. Кстати, я использую NAT, как трафик, инициированный извне, проходит через него?
17.12.2013 14:02:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214606 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214606 Tue, 17 Dec 2013 14:02:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Входящая цепочка влияет только на трафик, направляющийся непосредственно к роутеру, а не на трафик, который маршрутизируется через него.
17.12.2013 14:00:00, CelticComms.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214605 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214605 Tue, 17 Dec 2013 14:00:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Как это возможно, если весь входящий трафик настраивается на отбрасывание на WAN-порту?
17.12.2013 13:58:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214604 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214604 Tue, 17 Dec 2013 13:58:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Если кто-то в сети твоего провайдера направит трафик на твой роутер для адреса RFC1918 в твоей локальной сети, твой роутер этот трафик пропустит.
17.12.2013 13:54:00, CelticComms.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214603 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214603 Tue, 17 Dec 2013 13:54:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Этот простой конфиг проходит все сетевые тесты с pcflank.com. С помощью этого конфига сканер сети nmap с WAN не может найти ни один открытый порт или сервис на внешнем интерфейсе устройства, не может определить ОС и т.д. Если мы исходим из того, что все соединения, инициированные из LAN, легитимны, почему этот конфиг небезопасен? Я не настаиваю на своей версии, но попробуйте понять. Не стесняйтесь опубликовать свою версию возможной конфигурации и объяснить её.
17.12.2013 13:48:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214602 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214602 Tue, 17 Dec 2013 13:48:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Оригинальные правила, которые были опубликованы, не содержат ни записей цепочки пересылки, ни записей состояния соединения, поэтому, возможно, это и "работает", но уж точно небезопасно и технически не является реализацией брандмауэра с проверкой состояния пакетов.
17.12.2013 13:33:00, CelticComms.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214601 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214601 Tue, 17 Dec 2013 13:33:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Как я и писал раньше, "Главная цель — просто иметь интернет и IPTV на компьютере в локальной сети."
17.12.2013 08:43:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214600 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214600 Tue, 17 Dec 2013 08:43:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Насколько это безопасно? Сложно сказать, не зная, чем ты это делаешь. Отправлено с моего SCH-I545 через Tapatalk.
16.12.2013 23:16:00, efaden.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214599 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214599 Mon, 16 Dec 2013 23:16:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Действительно, работает, но достаточно ли это безопасно? Еще с этой конфигурацией роутер не может выйти в WAN/LAN, пинг и прочее не работает.
16.12.2013 21:10:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214598 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214598 Mon, 16 Dec 2013 21:10:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Вообще, я не понимаю, в чем смысл цепочки "forward". Ваша исходная конфигурация минимальная, но должна работать.
16.12.2013 20:21:00, efaden.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214597 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214597 Mon, 16 Dec 2013 20:21:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Добавил цепочку chain=input, протокол=icmp, действие=accept, комментарий="Разрешить Ping".
Добавил цепочку chain=forward, протокол=icmp, действие=accept. Мне не нужен icmp, инициированный из WAN.
Добавил цепочку chain=input, состояние соединения=established, действие=accept, комментарий="Разрешить установленные соединения".
Добавил цепочку chain=forward, состояние соединения=established, действие=accept.
Добавил цепочку chain=input, состояние соединения=related, действие=accept, комментарий="Разрешить связанные соединения".
Добавил цепочку chain=forward, состояние соединения=related, действие=accept. Как я понимаю, в моей конфигурации соединения, инициированные из WAN, не разрешены, так что нет смысла разрешать и эти.
Добавил цепочку chain=input, состояние соединения=invalid, действие=drop, комментарий="Отбрасывать недействительные соединения".
Добавил цепочку chain=forward, состояние соединения=invalid, действие=drop. В моем случае все соединения, инициированные из WAN, отбрасываются, а не только недействительные.
Добавил цепочку chain=input, протокол=udp, действие=accept, комментарий="Разрешить UDP".
Добавил цепочку chain=forward, протокол=udp, действие=accept. Мне не нужно всё UDP из WAN.
Добавил цепочку chain=forward, исходный адрес=192.168.1.0/29, интерфейс входящий=ether7, действие=accept, комментарий="Доступ в Интернет из локальной сети". Я предпочитаю NAT masquerade вместо перенаправления чего-то куда-то.
Добавил цепочку chain=input, исходный адрес=192.168.1.0/29, действие=accept, комментарий="Доступ к Mikrotik только из нашей локальной сети". Мой доступ к маршрутизатору основан на портах.
Добавил цепочку chain=input, действие=drop, комментарий="Остальное отбрасывать".
Добавил цепочку chain=forward, действие=drop.
actually, я не понимаю, в чем цель цепочки forward.
16.12.2013 19:18:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214596 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214596 Mon, 16 Dec 2013 19:18:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Думаю, минимальная защита должна выглядеть так: /ip firewall filter
add chain=input protocol=icmp action=accept comment=”Allow Ping”
add chain=forward protocol=icmp action=accept
add chain=input connection-state=established action=accept comment=”Accept established connections”
add chain=forward connection-state=established action=accept
add chain=input connection-state=related action=accept comment=”Accept related connections”
add chain=forward connection-state=related action=accept
add chain=input connection-state=invalid action=drop comment=”Drop invalid connections”
add chain=forward connection-state=invalid action=drop
add chain=input protocol=udp action=accept comment=”Allow UDP”
add chain=forward protocol=udp action=accept
add chain=forward src-address=192.168.1.0/29 in-interface=ether7 action=accept comment=”Access to Internet from local network”
add chain=input src-address=192.168.1.0/29 action=accept comment=”Access to Mikrotik only from our local network”
add chain=input action=drop comment=”All other drop”
add chain=forward action=drop
16.12.2013 17:35:00, bingo220.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214595 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214595 Mon, 16 Dec 2013 17:35:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
Можете, пожалуйста, прокомментировать конфиг выше? Главная цель — просто обеспечить интернет и IPTV на компьютере в локальной сети.
16.12.2013 14:38:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214594 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214594 Mon, 16 Dec 2013 14:38:00 -0500 RouterOS Мой файрвол настроен нормально? Мой файрвол настроен нормально? RouterOS в форуме RouterOS.
FILTER 0 ;;; IPTV igmp chain=input action=accept protocol=igmp src-address=10.0.0.0/8 dst-address=224.0.0.0/4 in-interface=ether2 1 ;;; IPTV udp chain=input action=accept protocol=udp src-address=10.0.0.0/8 dst-address=224.0.0.0/4 in-interface=ether2 2 ;;; LAN и защита роутера от WAN chain=input action=drop in-interface=!ether7 NAT 0 chain=srcnat action=masquerade src-address=192.168.1.0/29 dst-address=0.0.0.0/0

Я настроил статический WAN-адрес на интерфейсе ether2 и NAT с DHCP-сервером на интерфейсе ether7. Вроде бы все работает нормально, но, может, что-то забыл добавить?
15.12.2013 13:07:00, MT7.]]> http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214593 http://mikrotik.moscow/forum/forum57/57025-moy-fayrvol-nastroen-normalno/message214593 Sun, 15 Dec 2013 13:07:00 -0500 RouterOS