Mikrotik.moscow [тема: Настройка белого списка файрвола]

Настройка белого списка файрвола

Thu, 09 Feb 2023 10:09:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Заранее извиняюсь за ужас, который представляет моя конфигурация. Я почти уверен, что всё начиналось с заводских настроек, а потом я добавил белый список и правила для него... Пожалуйста, не стесняйтесь меня поправить — мне очень хочется найти решение. Надеюсь, кто-то там поймёт, чего я пытаюсь добиться! Спасибо.
09.02.2023 10:09:00, jbackwell.

Настройка белого списка файрвола

Mon, 20 Feb 2023 13:25:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
@Ca6ko: У вас отличный глаз, сэр, но вы пропустили текст автора на странице с диаграммой. (ПРАВКА: на диаграмме я случайно перепутал ether1 и bridge, их нужно поменять местами.) По второму пункту вы технически правы, но кому какое дело! Любой трафик к другим устройствам через мост (то есть на уровне L2) в подсети 192.168.88.0/24 всегда возможен, и на самом деле LIDAR мог бы рассылять мультикаст по всем устройствам, подключенным к мосту. Но, похоже, таких устройств нет, ведь LIDAR — единственное подключенное устройство на мосту, так что это не большая проблема. Основная цель этого правила была не остановить трафик LAN к LAN, а остановить трафик LAN к WAN!!! Именно по этой причине правило было поставлено перед разрешающим трафик LAN к WAN. Если теперь автор захочет добавить другие устройства за роутером MT, потребуется подумать, как обеспечить изоляцию от LIDAR. Это решается множеством способов: просто использовать порт, который не входит в мост и имеет другую подсеть, использовать другой мост, VLAN и так далее...
20.02.2023 13:25:00, anav.

Настройка белого списка файрвола

Mon, 20 Feb 2023 13:05:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
@jbackwell У тебя в схеме неправильные IP-адреса для Mikrotik. На мосту — 192.168.88.1/24, на eth1 — 192.168.15.206. Кстати, переназначь адрес на мост в настройках, потому что порт 2 входит в мост и является ведомым. Чтобы отключить доступ для всех устройств LAN, измени правило: добавь action=drop chain=forward src-address=192.168.88.0/24 вместо 192.168.88.254. @anav добавь action=drop chain=forward src-address=192.168.88.254 dst-address=192.168.88.0/24 Это правило не должно работать, потому что пакеты LAN не проходят через фаервол, а остаются в мосту. Если нужна такая фильтрация, добавляй её в bridge/filters по MAC-адресам.
20.02.2023 13:05:00, Ca6ko.

Настройка белого списка файрвола

Mon, 20 Feb 2023 11:51:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Извините, но вам нужно предоставить гораздо больше деталей о вашей идее с ноутбуком. Я вообще не понимаю, что где должно быть подключено в этой схеме? И чем это будет отличаться от вашей диаграммы?
20.02.2023 11:51:00, anav.

Настройка белого списка файрвола

Mon, 20 Feb 2023 03:18:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Огромное спасибо за помощь, @Anav! Всё работает отлично — кажется, что исходящий трафик блокируется, но при этом входящее соединение с Lidar через спутниковое соединение остаётся доступным! У меня есть один вопрос — было бы здорово, если бы я мог подключиться к Lidar с ноутбука, подключённого к роутеру Mikrotik (просто чтобы помочь с настройкой на месте). Конечно, я могу отключить брандмауэр, но гораздо удобнее иметь локальный доступ к Lidar и при этом не допускать, чтобы данные уходили через спутниковый терминал. На самом деле было бы идеально, если бы Mikrotik просто блокировал весь исходящий трафик на спутниковый терминал — тогда я мог бы спокойно подключать ноутбук к Mikrotik и настраивать Lidar, не опасаясь, что Windows или что-то ещё на моём ноутбуке начнёт качать данные через спутниковое соединение. Ещё раз спасибо за помощь!
20.02.2023 03:18:00, jbackwell.

Настройка белого списка файрвола

Tue, 14 Feb 2023 01:54:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Извиняюсь, запутался в этом потоке обсуждения. Короче, ты хочешь, чтобы это устройство LiDAR не инициировало исходящий трафик. Похоже, что устройство должно общаться, НО ТОЛЬКО в ответ на внешние запросы.

[ip firewall filter]
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid disabled=yes
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=drop chain=input src-address=192.168.88.254 log=yes log-prefix=TempMonitorToRouter (чтобы остановить любые связи с самим маршрутизатором)
add action=drop chain=input comment="defconf: drop all not coming from LAN" disabled=yes in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward src-address=192.168.88.254 dst-address=192.168.88.0/24 log=yes log-prefix=MonitorToLAN
add action=drop chain=forward src-address=192.168.88.254 log=yes log-prefix=MonitorToAnythingElse
add action=accept chain=forward in-interface-list=LAN out-interface-list=WAN
add action=accept chain=forward comment="port forwarding" connection-nat-state=dstnat
add action=drop chain=forward comment="drop all else"

[ip firewall nat]
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

Отмечу, что я разделил две приведённые выше правила, чтобы ты мог увидеть, куда именно пытается подключиться LiDAR — к адресам LAN или к другим адресам. На самом деле тебе нужно только второе правило:
add action=drop chain=forward src-address=192.168.88.254
14.02.2023 01:54:00, anav.

Настройка белого списка файрвола

Wed, 08 Feb 2023 00:04:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Спасибо, вот конфигурация. Прошу прощения, что я тут немного наощупь действую, я инженер по измерениям, и мои знания в сетях ограничиваются тем, чтобы проверить правильность IP-настроек на устройстве (то есть IP, маска, шлюз и DNS…). У меня ещё глупая ситуация: я использую DHCP-клиент на интерфейсе ether1 Mikrotik, чтобы получить IP от спутникового терминала, у которого тоже включён DHCP. Конечно, я бы предпочёл просто задать Mikrotik фиксированный IP на этом интерфейсе (ether1) — 192.168.15.206, но не был уверен, как это сделать, и не мог разобраться. Если мне удастся это настроить, я смогу выключить DHCP на спутниковом терминале. Иногда я получаю неправильный IP от спутникового терминала, из-за чего мои переадресации портов не работают.

Во-первых, спутниковый терминал настроен так:
IP-адрес: 192.168.15.1
DHCP-диапазон: 192.168.15.206-192.168.15.206
Я сделал так, потому что терминал слишком "умный" и не даёт назначать IP-адреса для конкретных MAC-адресов.

Фаервола нет (потому что этот терминал глупый).

Переадресации портов:
8880 → 192.168.15.206:8880
8822 → 192.168.15.206:8822
8980 → 192.168.15.206:80
8921 → 192.168.15.206:21

Вот и всё, что касается спутникового терминала, остальное — просто конфигурация BGAN.

Конфигурация Mikrotik:
feb/08/2023 10:48:05, RouterOS 6.47.9, software id = NXSX-DLR7, модель = RB952Ui-5ac2nD, серийный номер = XXXX

/interface bridge add admin-mac=X:X:X:X:X:X auto-mac=no comment=defconf name=bridge
/interface wireless set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX disabled=no distance=indoors frequency=auto installation=indoor mode=ap-bridge ssid=MikroTik-8CB596 wireless-protocol=802.11
/interface wireless set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=20/40/80mhz-XXXX disabled=no distance=indoors frequency=auto installation=indoor mode=ap-bridge ssid=MikroTik-8CB595 wireless-protocol=802.11
/interface list add comment=defconf name=WAN
/interface list add comment=defconf name=LAN
/interface wireless security-profiles set [ find default=yes ] supplicant-identity=MikroTik
/ip hotspot profile set [ find default=yes ] html-directory=flash/hotspot
/ip pool add name=dhcp ranges=192.168.88.10-192.168.88.254
/ip dhcp-server add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface bridge port add bridge=bridge comment=defconf interface=ether2
/interface bridge port add bridge=bridge comment=defconf interface=ether3
/interface bridge port add bridge=bridge comment=defconf interface=ether4
/interface bridge port add bridge=bridge comment=defconf interface=ether5
/interface bridge port add bridge=bridge comment=defconf interface=wlan1
/interface bridge port add bridge=bridge comment=defconf interface=wlan2
/ip neighbor discovery-settings set discover-interface-list=LAN
/interface list member add comment=defconf interface=bridge list=LAN
/interface list member add comment=defconf interface=ether1 list=WAN
/ip address add address=192.168.88.1/24 comment=defconf interface=ether2 network=192.168.88.0
/ip dhcp-client add disabled=no interface=ether1
/ip dhcp-server network add address=192.168.88.0/24 comment=defconf gateway=192.168.88.1
/ip dns set allow-remote-requests=yes
/ip dns static add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall address-list add address=X.X.X.X/24 comment= list=Whitelist
/ip firewall address-list add address=X.X.X.X/24 comment= list=Whitelist
/ip firewall address-list add address=X.X.X.X/24 comment= list=Whitelist
/ip firewall address-list add address=X.X.X.X/23 comment= list=Whitelist
/ip firewall address-list add address=X.X.X.X/29 comment= list=Whitelist
/ip firewall address-list add address=192.168.15.1 list=Whitelist
/ip firewall address-list add address=X.X.X.X/24 list=Whitelist
/ip firewall address-list add address=192.168.88.0/24 list=Whitelist
/ip firewall filter add action=accept chain=input comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked
/ip firewall filter add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid disabled=yes
/ip firewall filter add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp
/ip firewall filter add action=accept chain=input comment=“defconf: accept to local loopback (for CAPsMAN)” dst-address=127.0.0.1
/ip firewall filter add action=drop chain=input comment=“defconf: drop all not coming from LAN” disabled=yes in-interface-list=!LAN
/ip firewall filter add action=accept chain=forward comment=“defconf: accept in ipsec policy” ipsec-policy=in,ipsec
/ip firewall filter add action=accept chain=forward comment=“defconf: accept out ipsec policy” ipsec-policy=out,ipsec
/ip firewall filter add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related
/ip firewall filter add action=accept chain=forward comment=“defconf: accept established,related,untracked” connection-state=established,related,untracked
/ip firewall filter add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid
/ip firewall filter add action=drop chain=forward comment=“defconf: drop all from WAN not DSTNATed” connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall filter add action=drop chain=forward dst-address-list=!Whitelist log=yes src-address-list=!Whitelist
/ip firewall nat add action=masquerade chain=srcnat comment=“defconf: masquerade” ipsec-policy=out,none out-interface-list=WAN
/ip firewall nat add action=dst-nat chain=dstnat dst-port=8880 protocol=tcp to-addresses=192.168.88.254 to-ports=80
/ip firewall nat add action=dst-nat chain=dstnat dst-port=8822 protocol=tcp to-addresses=192.168.88.254 to-ports=22
/system clock set time-zone-name=Australia/Sydney
/tool mac-server set allowed-interface-list=LAN
/tool mac-server mac-winbox set allowed-interface-list=LAN
08.02.2023 00:04:00, jbackwell.

Настройка белого списка файрвола

Tue, 07 Feb 2023 12:54:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Очень хорошо! Пожалуйста, выложите текущую конфигурацию на устройстве MT. /export file=anynameyouwish (без серийного номера роутера и любой публичной WANIP-информации).
07.02.2023 12:54:00, anav.

Настройка белого списка файрвола

Tue, 07 Feb 2023 09:50:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Вот моя попытка составить карту сети — надеюсь, это поможет понять настройку. ИСПРАВЛЕНИЕ: на схеме я случайно перепутал ether1 и bridge, они должны быть наоборот.
07.02.2023 09:50:00, jbackwell.

Настройка белого списка файрвола

Tue, 07 Feb 2023 01:08:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
предоставьте схему для наглядности… NETWORK DIAGRAM APPS: https://nulab.com/cacoo/ https://online.visual-paradigm.com/diag…-software/ https://www.lucidchart.com/pages/ https://drawio-app.com/product/ https://www.diagrams.net/ (его старшая версия скоро будет закрыта https://drawio-app.com/product/) (Другие ссылки на diagrams.net — https://www.youtube.com/watch?v=P3ieXjI7ZSk и https://www.youtube.com/watch?v=mpF1i9sfEJ0) https://sourceforge.net/projects/dia-installer/ https://www.yworks.com/products/yed (и иконки для yEd → https://github.com/danger89/yEd_cisco_network_icons) https://www.libreoffice.org/discover/draw/ http://kilievich.com/fpinger/ — содержит простой графический редактор, но это не его основная функция.
07.02.2023 01:08:00, anav.

Настройка белого списка файрвола

Mon, 06 Feb 2023 23:00:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Спасибо, @jvanhambelgium. Попробую объяснить с самого начала. У меня есть установка для измерения ветра с помощью лидар-системы, подключённая к спутниковому терминалу BGAN (Cobham Explorer 540). Обычно лидар подключён через сотовую связь и расходует примерно 1 ГБ данных в месяц, так как он в реальном времени передаёт информацию на сервер, что позволяет получить облачный доступ к интерфейсу лидара, а также смотреть текущие данные ветра, настройки, сигналы тревог и т.д. Спутниковый тариф BGAN включает всего 5 МБ в месяц, а сверхлимитные данные стоят очень дорого. Раньше на новых версиях лидара нам удавалось успешно работать, потому что там есть настройка «низкого режима передачи данных», которая отключает связь с облачным сервером лидара. К сожалению, на старых устройствах такой опции нет. На новых лидарах в режиме низкого трафика я мог удалённо подключаться к лидару напрямую через FileZilla, скачивать ежедневные файлы данных, используя меньше 5 МБ в месяц, а также время от времени заходить в веб-интерфейс лидара, чтобы проверить или изменить настройки (просто нужно было добавить в белый список исходящие IP-адреса моей компании в спутниковом сервисе и выставить перенаправления портов в спутниковом терминале — и вуаля). НО. Сейчас мне нужно полностью заблокировать весь трафик от лидара к спутниковому терминалу (включая DNS-запросы и всё остальное). Мне нужно, чтобы лидар работал только как FTP-сервер с удалённым доступом, а также чтобы я мог заходит в его веб-интерфейс для настройки — то есть пускать трафик только на порты 22 и 80 и только с IP-адресов моей работы. Я пробовал добавить такое правило: add action=drop chain=forward dst-address-list=!Whitelist log=yes src-address-list=!Whitelist (где whitelist — это список исходящих IP-адресов моей компании), но кажется, это не останавливает кучу случайного трафика (DNS-запросы, пинги и всякая непонятная хрень на каких-то случайных портах — если что, я в этом не очень разбираюсь). Физическая схема такая: --------<Маршрутизатор Mikrotik 192.168.88.1 / 192.168.15.206>-------------------<Терминал BGAN 192.168.15.15> Я использую перенаправление портов в терминале BGAN и на Mikrotik, чтобы FTP и HTTP-трафик мог пройти на лидар, и удалённо к нему успешно подключаюсь. Когда я подключаю компьютер к сети, я могу пинговать только устройства из белого списка — но по какой-то причине это всё равно не останавливает расход данных (уже прошло больше 10 МБ по спутниковому каналу). Заранее спасибо, Джош.
06.02.2023 23:00:00, jbackwell.

Настройка белого списка файрвола

Mon, 13 Feb 2023 20:31:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
Я просто подниму это сообщение ещё раз, буду очень признателен за любую помощь!
13.02.2023 20:31:00, jbackwell.

Настройка белого списка файрвола

Tue, 02 Mar 2021 04:28:00 +0300

Настройка белого списка файрвола RouterOS в форуме RouterOS.
У меня есть измерительное устройство, подключённое к спутниковому терминалу BGAN (который, что раздражает, вообще не имеет файрвола). Данные там очень дорогие, и мы хотим иметь возможность подключаться к устройству по FTP, чтобы периодически скачивать данные. Подключённое измерительное устройство — это нечто, что сложно настроить, и оно постоянно пытается пинговать серверы, потребляя большие объёмы данных без контроля.

В данный момент у меня настроен проброс портов на спутниковом терминале, чтобы направлять входящие подключения к измерительному устройству (внешний порт X перенаправлен на :80, а внешний порт Y — на :22). У спутникового провайдера есть файрвол, который блокирует входящие соединения откуда угодно, кроме нашей корпоративной сети (около 5 подсетей с публичными IP-адресами — это практически все наши исходящие IP). К сожалению, это останавливает лишь нежелательный входящий трафик.

Поскольку файрвол находится на земле, он не может заблокировать запросы, которые измерительное устройство отправляет по спутниковой сети — даже если они отбрасываются на файрволе, трафик уже прошёл через спутник, считается расходом из нашего квотного объёма данных и, соответственно, очень дорогой!

Я хочу использовать роутер Mikrotik между спутниковым терминалом и измерительным устройством, чтобы блокировать любой трафик, кроме того, который идёт между измерительным устройством и нашей рабочей сетью (то есть когда мы вручную подключаемся к устройству для скачивания данных по FTP (порт 22) или для диагностических целей (порт 80)).

У меня есть список публичных IP-диапазонов нашей компании (мы большая компания, с примерно 5 подсетями). Буду очень признателен, если кто-то подскажет, как настроить роутер для реализации этой задачи.

Спасибо!
02.03.2021 04:28:00, jbackwell.