http://mikrotik.moscow Новое в теме Проблемы с файерволом форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 04 Aug 2026 13:34:36 -0400 Проблемы с файерволом RouterOS в форуме RouterOS.
Спасибо огромное за помощь. Погуглю ещё и посмотрю, что смогу найти.
07.04.2005 18:47:00, ScooterB.]]> http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216878 http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216878 Thu, 07 Apr 2005 18:47:00 -0400 RouterOS Проблемы с файерволом RouterOS в форуме RouterOS.
Ты прав. Нужно защищать как Input, так и Forward цепочки. Я только что выложил свою Input цепочку, потому что Forward будет выглядеть довольно похоже, и я не собирался выкладывать полное решение. В интернете полно информации, которую можно довольно легко перевести из IPTables в MT. В брандмауэре версии 2.9 гораздо больше возможностей, и можно начать сопоставлять пакеты на основе флагов TCP options и т.д. С уважением, Andrew.
07.04.2005 18:45:00, andrewluck.]]> http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216877 http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216877 Thu, 07 Apr 2005 18:45:00 -0400 RouterOS Проблемы с файерволом RouterOS в форуме RouterOS.
Подумал ещё, и хочу задать ещё один вопрос. Судя по руководству, если пакет должен пойти на другой ethernet-интерфейс (например, с моего Public на мой Private), то это, кажется, попадает в цепочку пересылки. Судя по алгоритму, который они показывают, если это ситуация с NAT, то он обходит цепочку ввода и передаётся в цепочку пересылки. Я правильно понимаю? Если да, то цепочка, которую ты выложил из своего роутера, не повлияет на пересылку. Стоит ли мне использовать такую цепочку во входной или пересылочной?
07.04.2005 17:35:00, ScooterB.]]> http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216876 http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216876 Thu, 07 Apr 2005 17:35:00 -0400 RouterOS Проблемы с файерволом RouterOS в форуме RouterOS.
Спасибо, я пропустил одну часть – номер порта назначения для моего публичного IP-адреса. В остальном всё было одинаково. Спасибо, что выложил свой, это даст мне, над чем поработать. Буду дальше ковыряться, и надеюсь, что-нибудь получится!
07.04.2005 17:28:00, ScooterB.]]> http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216875 http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216875 Thu, 07 Apr 2005 17:28:00 -0400 RouterOS Проблемы с файерволом RouterOS в форуме RouterOS.
Когда ты правил правило DNAT для почтового сервера, ты ограничивал его только SMTP-трафиком? Если правило соответствует всему трафику, то произойдет именно это. Тебе нужно что-то вроде этого: / ip firewall dst-nat in-interface=Internet dst-address=:25 protocol=tcp action=nat to-dst-address=192.168.10.3 to-dst-port=25 В остальном всё практически напрямую переносится из IPTables. Моя цепочка Input выглядит так: [admin@Net4501] ip firewall rule input> pr Flags: X - disabled, I - invalid, D - dynamic 0 ;;; Отбрасываем TCP Invalid пакеты in-interface=Internet connection-state=invalid action=drop log=yes 1 ;;; Принимаем интернет Established соединения in-interface=Internet connection-state=established action=accept 2 ;;; Принимаем интернет Related соединения in-interface=Internet connection-state=related action=accept 3 ;;; Разрешаем локальный LAN трафик in-interface=Internal action=accept 4 ;;; PPTP control in-interface=Internet dst-address=:1723 protocol=tcp action=accept 5 ;;; PPTP Tunnel protocol=gre action=accept 6 ;;; Разрешаем запросы DHCP src-address=:68 in-interface=Internal dst-address=:67 protocol=udp action=accept 7 ;;; Безмолвный отказ для TCP:445 dst-address=:445 protocol=tcp action=drop 8 ;;; Безмолвный отказ для UDP 1026-1027 in-interface=Internet dst-address=:1026-1029 protocol=udp action=drop 9 ;;; Отбрасываем и логируем все остальное in-interface=Internet action=drop log=yes С уважением, Andrew
07.04.2005 17:18:00, andrewluck.]]> http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216874 http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216874 Thu, 07 Apr 2005 17:18:00 -0400 RouterOS Проблемы с файерволом RouterOS в форуме RouterOS.
Всем привет. Я в процессе замены роутера SonicWall на Mikrotik ver 2.8.26. Использую эти устройства в качестве точек доступа в беспроводной сети с отличным успехом. Но теперь пытаюсь использовать его в качестве основного роутера и столкнулся с проблемами. Полагаю, дело в моем файрволе. Вот моя ситуация: Публичный IP: 123.456.789.321 Приватный IP: 192.168.10.254 У меня есть mail-сервер по адресу 192.168.10.3. Я настроил DNAT с публичным IP моего mail-сервера на его приватный IP. Всё работает нормально. Теперь, когда я начал смотреть логи своего mail-сервера (Linux - Fedora Core 2 - работает около 2 года без проблем), я вижу всякий разный трафик. Похоже, кто-то пытался устроить мне DoS-атаку, но я не уверен. Затем я попытался реализовать некоторые правила, показанные в руководстве, и оказалось, что я потерял почти всё. Я последовательно прошёл по списку, как в книге. Похоже, мой mail-сервер не может подключиться к другим, чтобы передавать почту. Логи mail-сервера постоянно сообщают, что не может подключиться и время ожидания истекло. Это было очень расстраивающе. Поэтому я вернул SonicWall, чтобы вернуться к тому, что было, и разобраться. В общем, я начал смотреть руководство и форум, чтобы попытаться найти какую-нибудь помощь. У кого-нибудь есть туториал по настройке системы такого рода? Или я совсем не прав? Руководство, кажется, нормально подходит для простой настройки и запуска, но мне нужно больше информации, видимо. Пожалуйста, помогите, если у вас есть идея, которая может помочь. Любая и вся помощь очень приветствуется! P.S. – Я работаю с IPTables уже некоторое время и, кажется, у меня есть понимание, так что я не уверен, где я ошибся.
07.04.2005 15:43:00, ScooterB.]]> http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216873 http://mikrotik.moscow/forum/forum57/57549-problemy-s-fayervolom/message216873 Thu, 07 Apr 2005 15:43:00 -0400 RouterOS