http://mikrotik.moscow Новое в теме Блокировка порта на роутере. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 20 Aug 2026 05:17:47 -0400 Блокировка порта на роутере. RouterOS в форуме RouterOS.
Ладно, попробуй ещё раз, у меня получилось. На этот раз передвинь правило фильтра в начало списка в цепочке INPUT. Это заблокирует запросы к порту 8080. По крайней мере, так получилось на моём роутере при использовании прокси в НЕ-прозрачном режиме (И в прозрачном режиме). Судя по всему, ты используешь именно его, так как нет правил NAT, перенаправляющих трафик на порт 8080. Даже в прозрачном режиме это будет сбрасываться. Так что моё предыдущее утверждение о потоке пакетов было неверным. Если только оно не обходится только для правил DST-NAT, у меня сейчас есть правило перенаправления в цепочке DST-NAT для перенаправления трафика порта 80 на 8080 (для прозрачного прокси), и фильтр INPUT всё равно применяется. Мой домашний роутер также работает на 2.9.26. Вот как выглядит правило, а также конфигурация моего прокси:

# Первое правило в цепочке INPUT
/ ip firewall filter
add chain=input in-interface=LAN protocol=tcp dst-port=8080 action=drop comment="" disabled=yes

# Конфигурация прокси

/ ip proxy
set enabled=yes src-address=0.0.0.0 port=8080 parent-proxy=0.0.0.0:0 cache-administrator="webmaster"
   max-disk-cache-size=none max-ram-cache-size=7334KiB cache-only-on-disk=no maximal-client-connections=1000
   maximal-server-connections=1000 max-object-size=3667KiB max-fresh-time=3d
/ ip proxy access
add dst-port=23-25 action=deny comment="block telnet & spam e-mail relaying" disabled=no

Твои интерфейсы, может, скомбинированы в один мост? У меня все маршрутизированные.
26.07.2006 20:42:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272791 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272791 Wed, 26 Jul 2006 20:42:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
wildbill: Очень интересная мысль. Спасибо за усилия. Я посмотрел настройки nat и выполнил "print all", чтобы увидеть динамические правила, и установил, чтобы любые динамические правила, касающиеся неаутентифицированных пользователей hotspot, не применялись к ether1 (это ethernet-порт, на котором я не хочу, чтобы прокси был виден). К сожалению, это не помогло. Я также не увидел там никаких правил, связанных с сервисом прокси. По какой-то причине правила для перенаправления запросов прокси отсутствуют. Если бы они были, я бы сказал правилу игнорировать ether1, как ты и рекомендовал. В своём предыдущем сообщении я назвал это "багом", потому что если нет способа это обойти, то это пахнет багом для меня. Ты ближе всех подошёл к тому, чтобы понять, почему прокси обходит правила брандмауэра. Какие ещё есть идеи?
26.07.2006 19:30:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272790 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272790 Wed, 26 Jul 2006 19:30:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Нельзя блокировать пользователей через файрвол, потому что правила файрвола пропускаются из-за DST-NAT правил, необходимых прокси… Посмотрите на раздел "Поток пакетов" в документации, это не ошибка. http://www.mikrotik.com/docs/ros/2.9/ip/flow. Если вы хотите запретить пользователям доступ к прокси, я думаю, это делается в разделе ACCESS в меню Proxy. Я не уверен, так как особо прокси не использовал. Ссылайтесь на документацию. Или переопределите область правила DST-NAT, чтобы оно NAT'ило трафик только на интерфейсе, через который вы проксируете. Я думаю, это будет исправлением.
26.07.2006 15:47:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272789 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272789 Wed, 26 Jul 2006 15:47:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Какое правило работает не совсем так, как надо?
26.07.2006 15:43:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272788 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272788 Wed, 26 Jul 2006 15:43:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
К сведению всех. Эта проблема не решена. Брандмауэр Mikrotik не блокирует входящий трафик к прокси-сервису на роутере на портах 80 и 8080, как должен в соответствии с настроенными правилами брандмауэра. Очевидно, что есть серьезная проблема, из-за которой правила брандмауэра не применяются к трафику, направленному к прокси-сервису. Неважно, могут ли правила доступа к прокси предотвратить использование прокси, брандмауэр должен вообще не позволять им взаимодействовать с прокси-сервисом!!! Это ошибка. Нужно исправить.
26.07.2006 15:26:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272787 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272787 Wed, 26 Jul 2006 15:26:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Иногда встречаются люди, которые просто ищут прокси-серверы и пытаются подключиться к ним. Есть несколько программ, которые автоматизируют этот процесс. Возможно, ты стал жертвой таких поисков, но, раз ты отключил доступ к своему прокси, они не могут его использовать.
20.07.2006 10:10:00, janisk.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272786 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272786 Thu, 20 Jul 2006 10:10:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Да, каждый раз, когда ты заходишь по ссылке, которую я прислал, тебе снова отказывают в доступе.
20.07.2006 07:22:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272785 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272785 Thu, 20 Jul 2006 07:22:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Прокси всё ещё генерирует запись в логе (отказ)? Нужно быть очень осторожным с правилами ограничения соединений на входе (используя прокси).
20.07.2006 07:17:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272784 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272784 Thu, 20 Jul 2006 07:17:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Серж: Вот мои настройки файрвола для защиты роутера. Можешь, пожалуйста, объяснить, где я разрешаю доступ пользователям, не указанным в правиле как "Local LAN". Я разрешил доступ только тем адресам, которые перечислил, как ты и предлагал.
/ip firewall filter add chain=input protocol=tcp dst-port=80 in-interface=ether1 action=drop comment="Drop external proxy request" disabled=no
/ip firewall filter add chain=input protocol=tcp dst-port=8080 in-interface=ether1 action=drop comment="Drop external proxy request" disabled=no
/ip firewall filter add chain=input connection-state=established action=accept comment="Accept established connections"
/ip firewall filter add chain=input connection-state=related action=accept comment="Accept related connections"
/ip firewall filter add chain=input connection-state=invalid action=drop comment="Drop invalid connections"
/ip firewall filter add chain=input protocol=tcp psd=21,3s,3,1 action=drop comment="detect and drop port scan connections"
/ip firewall filter add chain=input protocol=tcp connection-limit=3,32 src-address-list=black_list action=tarpit comment="suppress DoS attack"
/ip firewall filter add chain=input protocol=tcp connection-limit=10,32 action=add-src-to-address-list address-list=black_list address-list-timeout=1d comment="detect DoS attack"
/ip firewall filter add chain=input protocol=udp action=accept comment="UDP" disabled=no
/ip firewall filter add chain=input protocol=icmp limit=50/5s,2 action=accept comment="Allow limited pings"
/ip firewall filter add chain=input protocol=icmp action=drop comment="Drop excess pings"
/ip firewall filter add chain=input protocol=tcp dst-port=22 action=accept comment="SSH for hypewifi secure shell"
/ip firewall filter add chain=input src-address=10.100.2.0/24 action=accept comment="Local LAN"
/ip firewall filter add chain=input src-address=10.200.2.0/24 action=accept comment="Local LAN"
/ip firewall filter add chain=input src-address=10.10.10.0/24 action=accept comment="Local Admin"
/ip firewall filter add chain=input protocol=tcp in-interface=ether1 dst-port=22 action=accept comment=" Outside SSH for hypewifi secure shell"
/ip firewall filter add chain=input protocol=tcp in-interface=ether1 dst-port=21 action=accept comment=" Outside ftp when enabled"
/ip firewall filter add chain=input dst-port=1723 action=accept
/ip firewall filter add chain=input action=drop comment="Drop everything else"

Спасибо.
20.07.2006 07:13:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272783 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272783 Thu, 20 Jul 2006 07:13:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Этот вопрос проходит через веб-прокси, потому что у тебя заблокирован порт 8080 в файрволе. HTTP использует 80, поэтому он не соответствует правилу файрвола. Как я уже говорил, лучше ограничить весь трафик и разрешить только доверенные хосты в файрволе (которые используют прокси).
20.07.2006 06:53:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272782 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272782 Thu, 20 Jul 2006 06:53:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Ну что, не работает. Посмотри сам. Зайди на http://64.105.225.181:8080. Это роутер, и правило, которое ты указал, есть во входящей цепочке, но оно всё равно попадает на прокси…
20.07.2006 06:50:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272781 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272781 Thu, 20 Jul 2006 06:50:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Эй, hecklertm, правило файрвола должно отбрасывать трафик, и не должно быть никаких записей в логах от веб-прокси (если у тебя в файрволе нет цепочки action=log chain=input). На самом деле, лучше вообще запретить доступ к роутеру (прокси), и разрешить только src-адреса проверенных пользователей.
20.07.2006 06:43:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272780 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272780 Thu, 20 Jul 2006 06:43:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Я понимаю, что ты говоришь. Моя проблема в том, что люди в интернете постоянно пытаются использовать мой прокси. Я уже запретил им это правилом в "ip proxy access", и они успешно блокируются. Я понимаю это. Но я не хочу, чтобы они вообще видели этот прокси!!! Я хочу, чтобы файрвол блокировал их запросы к прокси, чтобы мне не приходилось смотреть на все записи в логах каждый раз, когда они пытаются подключиться к прокси и получают отказ. Я добавил правило в файрвол, как указано выше, но запросы всё равно видны прокси, вместо того, чтобы файрвол их отбрасывал. Что я могу сделать, чтобы это остановить? Спасибо.
20.07.2006 06:36:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272779 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272779 Thu, 20 Jul 2006 06:36:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Что ты имеешь в виду, когда говоришь «переписать правило брандмауэра»? Это правило, ‘ip firewall filter add action=drop chain=input dst-port=8080 protocol=tcp in-interface=ether1’ блокирует весь трафик, направленный на роутер со следующими параметрами (protocol=tcp in-interface, dst-port).  Ещё есть ‘ip web-proxy access’, который фильтрует данные, направленные на прокси.
20.07.2006 06:27:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272778 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272778 Thu, 20 Jul 2006 06:27:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Я посмотрел на те вещи, которые ты предложил, но это не помогает мне понять, как переписать правило брандмауэра. Если я отправлю тебе файл supout, ты сможешь увидеть, почему я не могу заблокировать трафик с ether1, обращающийся к прокси на порту 8080? Я хочу заблокировать это на брандмауэре, потому что я использую логи веб-прокси для определенных целей, но я не хочу видеть записи, где action=deny для этих людей с ether1. Поэтому я хочу, чтобы брандмауэр это запретил. Пожалуйста, помоги.
20.07.2006 06:22:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272777 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272777 Thu, 20 Jul 2006 06:22:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Используй torch для мониторинга трафика на интерфейсе Ethernet1.
20.07.2006 06:00:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272776 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272776 Thu, 20 Jul 2006 06:00:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Я настроил протокол, но подключения все равно приходят. Флаги: X - отключено, I - недействительно, D - динамический.

;;; Отбрасывать внешние запросы прокси chain=input in-interface=ether1 protocol=tcp dst-port=8080 action=drop

Есть еще какие-нибудь идеи?
20.07.2006 05:58:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272775 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272775 Thu, 20 Jul 2006 05:58:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
Похоже, что каждый раз, когда ты указываешь порт (dst/src) в настройках файрвола, тебе нужно указывать и протокол.
20.07.2006 05:37:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272774 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272774 Thu, 20 Jul 2006 05:37:00 -0400 RouterOS Блокировка порта на роутере. RouterOS в форуме RouterOS.
2.9.26 - rb532 Не понимаю, что делаю не так, пожалуйста, подскажите. Я запускаю прокси-сервис на порту 8080. У меня есть правило, которое запрещает пользователям, которых я не хочу пропускать через прокси, через правило "/ip proxy access", но я хочу полностью запретить пользователям, подключающимся к ether1, подключаться к порту 8080 с помощью правила брандмауэра. Флаги: X - отключено, I - недействительно, D - динамическое

0  ;;; Блокировка внешних прокси-запросов
   chain=input in-interface=ether1 dst-port=8080 action=drop Как видите выше, мое первое правило брандмауэра говорит о блокировке входящих подключений к роутеру на порту 8080, но если я смотрю список подключений, вижу попытки подключения, которым разрешено. Флаги: S - получен ответ, A - подтверждено

#    PR.. SRC-ADDRESS           DST-ADDRESS           TCP-STATE   TIMEOUT      
0 S  tcp  59.61.157.254:1175    64.105.225.181:8080   close       23h18m27s    
1 S  tcp  59.61.157.254:2957    64.105.225.181:8080   close       23h18m28s    
2 S  tcp  81.56.164.158:24334   64.105.225.181:8080   close       23h18m30s    
3 S  tcp  59.61.157.254:3616    64.105.225.181:8080   close       23h18m30s    
4 S  tcp  81.56.164.158:28202   64.105.225.181:8080   close       23h18m32s    
5 S  tcp  59.61.157.254:1453    64.105.225.181:8080   close       23h18m32s    
6 S  tcp  59.61.157.254:3049    64.105.225.181:8080   close       23h18m37s    
7 S  tcp  59.61.157.254:3582    64.105.225.181:8080   close       23h18m41s    
8 S  tcp  59.61.157.254:4511    64.105.225.181:8080   close       23h18m41s    
9 S  tcp  59.61.157.254:2697    64.105.225.181:8080   close       23h18m41s    
10 S  tcp  59.61.157.254:4226    64.105.225.181:8080   close       23h18m41s    
11 S  tcp  59.61.157.254:4867    64.105.225.181:8080   close       23h18m47s и счетчик попаданий по моему правилу в “ip proxy access”, которое их запрещает, увеличивается. Следовательно, запросы все равно проходят на порт 8080 к прокси, который их запрещает. Я просто не хочу, чтобы какие-либо подключения с ether1 вообще проходили… Пожалуйста, подскажите, что я упускаю. Спасибо.
20.07.2006 05:13:00, hecklertm.]]> http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272773 http://mikrotik.moscow/forum/forum57/69272-blokirovka-porta-na-routere./message272773 Thu, 20 Jul 2006 05:13:00 -0400 RouterOS