[req] 2.9.6 шпионское ПО и вирусы через порты

В интернете полно списков портов, используемых вирусами и червями, и они с каждым днём растут. Гораздо лучше определить, какой трафик реально использует твоя сеть, а потом настроить правила, чтобы разрешать только его, а всё остальное блокировать.

С уважением,
Andrew
#cybersecurity #networksecurity

Твой интернет-то бесплатный? Блокировать всё, кроме стандартного веб-порта, это очень жестоко… Нужно указать порт, например, `/ip firewall filter add src-address=10.10.0.0/16 dst-port=!80 action=drop chain=forward protocol=tcp`.

Да, вы не позволяете своим пользователям использовать электронную почту и FTP? А как насчет безопасных сайтов, вроде банковских?

Тебе нужно разрешить возвратный трафик с правилами, похожими на эти: 28   ;;; Разрешить Интернет Установленное
    chain=forward in-interface=Internet connection-state=established
    action=accept

29   ;;; Разрешить Интернет Связанное
    chain=forward in-interface=Internet connection-state=related
    action=accept

Вот список протоколов, которые разрешены для зон с ограниченным бесплатным использованием... добавлять chain=guest-network connection-state=invalid action=drop comment="Drop Invalid" disabled=no
добавлять chain=guest-network connection-state=established action=accept comment="Accept Established" disabled=no
добавлять chain=guest-network connection-state=related action=accept comment="Accept Related" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=80 action=accept comment="HTTP" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=20-21 action=accept comment="FTP" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=110 action=accept comment="POP3" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=25 action=accept comment="SMTP" disabled=no
добавлять chain=guest-network protocol=udp action=accept comment="UDP" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=5190 action=accept comment="AIM" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=443 action=accept comment="SSL" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=1863 action=accept comment="MSN Messenger" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=6891-6901 action=accept comment="MSN Messenger" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=143 action=accept comment="IMAP" disabled=no
добавлять chain=guest-network protocol=tcp dst-port=993 action=accept comment="IMAP-SSL" disabled=no
добавлять chain=guest-network action=log log-prefix="Guest Chain" comment="Log Dropped Packets" disabled=no
добавлять chain=guest-network action=drop comment="Drop Everything" disabled=no

Это позволит использовать только указанные порты в гостевой сети. Если вы хотите разрешить все исходящие соединения, но блокировать входящие, это будет выглядеть примерно так:

добавлять chain=customer connection-state=invalid action=drop comment="Drop Invalid" disabled=no
добавлять chain=customer connection-state=established action=accept comment="Accept Established" disabled=no
добавлять chain=customer connection-state=related action=accept comment="Accept Related" disabled=no
добавлять chain=customer in-interface="LAN" out-interface=WAN action=accept comment="Accept Outgoing Connections"
   disabled=no
добавлять chain=customer action=log log-prefix="Customer Chain" comment="Log Dropped" disabled=no
добавлять chain=customer action=drop comment="Drop and log everything else" disabled=no

Если у вас нет «accept established» и «accept related», ваши клиенты, например, смогут отправлять пакеты на порт 1863, но возвращающиеся пакеты будут отбрасываться, так как они приходят на динамический порт, который не разрешен в брандмауэре…

Спасибо огромное @wildbill442 и @jager! Скрипт работает...

Ну, вижу, у тебя тут все перепутано. Ты понимаешь, как работает эта таблица? Если пакет приходит через определенный порт, то заголовок и кое-какая другая информация сравниваются со всеми правилами в таблице, и как только одно правило сработало, дальнейшие правила игнорируются — это конец истории. Следующий пакет, и так далее. Если ни одно правило не соответствует, то применяется политика по умолчанию для этой цепочки. Посмотрел на то, что у тебя есть, и линия 3 — бесполезная трата места, потому что ты уже отбрасываешь все недействительные пакеты в правиле 1. К тому же, в строке 3 ошибка в написании. Еще тебе нужно разрешить как "related", так и "established" соединения, идущие с обеих сторон сети, чего ты не сделал. Да, и в строке 4 сделай `in-interface` интерфейсом внутренней сети, а `out-interface` — внешней, иначе интересы в строках 4 и 5 конфликтуют (одно из них не нужно). И я не думаю, что данные текут в правильном направлении (исправь, ориентируясь на предыдущее направление).

Похоже, пора браться за работу.

P.S. Нужна помощь с настройкой Hotspot.

Я думаю, проблема в том, что нужно принимать установленные и связанные соединения во всех направлениях. Мне кажется, что происходит сброс ответов на соединения, созданные с 8080. Так что, если ты будешь принимать связанные и установленные соединения в обоих направлениях, проблема должна решиться. chain=forward; connect-state=established; action=accept chain=forward; connct-state=related; action=accept – это должны быть твои новые строки 2 и 3.

Окей, я настроил так: chain=forward; connect-state=invalid; action=drop chain=forward; connect-state=established; action=accept chain=forward; connct-state=related; action=accept chain=forward; protocol=tcp; dst-port=!80; src-address=x.x.x.x/x; action=drop chain=forward; action=add src to address list; address list=….; timeout=00:00:01 chain=dst-nat; protocol=tcp; dst-port=80; in-interface=wan; action=redirect; to-port=8080(proxy) в прокси: src-address=x.x.x.x/x; dst-port=80; action=allow src-address=x.x.x.x/x; action=deny и не знаю, работает ли это хорошо: все IP, которые не указаны конкретно в прокси, будут заблокированы Mikrotik HTTP Proxy…!