+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Помощь с брандмауэром

Помощь с брандмауэром, RouterOS

user13

Guest

12.03.2006 18:30:00

Привет всем! Извините за мой плохой английский. У меня проблемы с брандмауэром. Есть 2 соединения: 1 общее и 1 приватное. Я включил massguarade на общем интерфейсе и включил HTTP-прокси. Я хочу, чтобы только эти порты могли выходить и входить: TCP 21, 23, 25, 80, 110, 443, 1863, 3389, 5190. Я настроил следующим образом:

`/ ip firewall nat add chain=srcnat action=src-nat to-addresses=87.116. . to-ports=0-65535 comment=“” disabled=no`
`add chain=dstnat protocol=tcp dst-port=80 action=redirect to-ports=8080 comment=“” disabled=no`
`add chain=dstnat in-interface=SBB protocol=tcp dst-port=3000 action=netmap to-addresses=192.168.0.1 to-ports=3000 comment=“” disabled=no`
`add chain=dstnat in-interface=SBB protocol=tcp dst-port=3389 action=netmap to-addresses=192.168.0.1 to-ports=3389 comment=“” disabled=no`
`add chain=dstnat in-interface=SBB protocol=tcp dst-port=21 action=netmap to-addresses=192.168.0.1 to-ports=21 comment=“” disabled=no`

`/ ip firewall connection tracking set enabled=yes tcp-syn-sent-timeout=2m tcp-syn-received-timeout=1m tcp-established-timeout=5d tcp-fin-wait-timeout=2m tcp-close-wait-timeout=1m tcp-last-ack-timeout=30s tcp-time-wait-timeout=2m tcp-close-timeout=10s udp-timeout=30s udp-stream-timeout=3m icmp-timeout=30s generic-timeout=10m`

`/ ip firewall filter add chain=input connection-state=invalid action=drop comment=“Firewall za ruter” disabled=no`
`add chain=input connection-state=established action=accept comment=“Allow Established connections” disabled=no`
`add chain=input protocol=udp action=accept comment=“Allow UDP” disabled=no`
`add chain=input protocol=icmp action=accept comment=“Allow ICMP” disabled=no`
`add chain=input src-address=192.168.0.0/24 action=accept comment=“Allow access to router from known network” disabled=no`
`add chain=input protocol=tcp dst-port=8291 action=accept comment=“” disabled=no`
`add chain=input action=drop comment=“Drop anything else” disabled=no`
`add chain=forward protocol=tcp dst-port=21 action=accept comment=“Firewall” disabled=no`
`add chain=forward protocol=tcp dst-port=23 action=accept comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=25 action=passthrough comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=53 action=accept comment=“” disabled=no`
`add chain=forward protocol=udp dst-port=53 action=accept comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=80 action=accept comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=110 action=accept comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=443 action=accept comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=1863 action=passthrough comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=3375 action=accept comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=3389 action=passthrough comment=“” disabled=no`
`add chain=forward protocol=tcp dst-port=5190 action=accept comment=“” disabled=no`
`add chain=forward dst-address=192.168.0.1 p2p=all-p2p action=accept comment=“” disabled=no`
`add chain=forward p2p=all-p2p action=drop comment=“P2p Saobracaj” disabled=yes`
`add chain=forward in-interface=SBB protocol=tcp action=drop comment=“” disabled=yes`

Когда я включаю последнее правило, весь трафик останавливается. В чем проблема?

mag Guest	#2 0 12.03.2006 19:25:00 Предлагаю внимательнее посмотреть на демо-систему на Mikrotik: http://demo.mt.lv/ Там кое-какие правила файрвола.

user13 Guest	#3 0 12.03.2006 20:42:00 Демо-система не работает. Есть ещё какие-нибудь идеи?

tneumann Guest	#4 0 12.03.2006 21:31:00 Используйте demo2.mt.lv

jager

Guest

12.03.2006 23:32:00

Ну... если ты включишь свое последнее правило: add chain=forward in-interface=SBB protocol=tcp action=drop comment="" \
disabled=yes, то в таком случае весь TCP-трафик туда и обратно твоему кабельному провайдеру будет заблокирован. Это значит, что никакой трафик. Ты перерубаешь ветку, на которой сидишь, мать мою…

mag

Guest

13.03.2006 07:45:00

Но это не проблема и это нормально для стратегии "отказ по умолчанию". Проблема в том, что настроен только один путь, например, отсутствуют клиентские подключения и ответы сервера. (Хотя это довольно базовые знания IP,

)

user13

Guest

13.03.2006 08:41:00

Ок. Вижу, что ты имеешь в виду. Я включил это только на время экспорта списка. Но я все еще не знаю, как разрешить только те порты, которые я выбрал. Ягер радио сам это сделал, потому что думал, что все идет по тому принципу, сверху вниз по выполнению правил. Ну, понимаешь, это разрешено, а это нет.

user13 Guest	#8 0 16.03.2006 20:27:00 Опять проблема. Смотри мою конфигурацию на приложенном фото. Как только включаю jump в firewall, всё встаёт. Что не так? http://img367.imageshack.us/my.php?image=firewall8tr.jpg

jager

Guest

16.03.2006 23:37:00

Шватим, я уже сам себя так завел, ок, возвращаемся к английскому, чтобы остальные поняли тоже... Я понимаю, что это легко отследить, и список выглядит хорошо, если он отсортирован по портам... но! Вам нужно просто перенести в самый верх ВСЕ правила accept. Они должны идти друг за другом. Только потом могут быть ваши drop-правила. Кто-нибудь поправьте меня, если я не прав.

sarenos Guest	#10 0 10.04.2006 20:47:00 Не могли бы вы подсказать логин и пароль для доступа к demo.mt.lv и demo2.mt.lv? С уважением.

sergejs Guest	#11 0 11.04.2006 05:21:00 Логин: demo без пароля для demo2.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры