http://mikrotik.moscow Новое в теме Правило фильтрации межсетевого экрана перед правилом NAT форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 02 Aug 2026 12:14:13 -0400 Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Позже посмотрю эту, извините, тему, но ясно, что НАДЁЖНАЯ НАСТРОЙКА СЕРВЕРОВ — очень важный момент для многих пользователей Mikrotik. Поэтому Mikrotik ОБЯЗАН предоставить туннель Zerotrust Cloudflare в качестве опции для всех пользователей!!!
24.03.2023 11:47:00, anav.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401857 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401857 Fri, 24 Mar 2023 11:47:00 -0400 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Возвращаюсь к старой теме, но нигде не смог легко найти эту информацию и решил добавить её для помощи другим в будущем. Это работает в версии 7.7 в 2023 году; Использование RAW-правила после добавления в список блокировки.

Похожая проблема — хотим блокировать brute force. Вместо блокировки одного порта, если IP — злоумышленник, надо заблокировать его полностью. Правила add to src-address-list должны быть в цепочке forward и использовать порт назначения в NAT-правиле. Например, если внешний порт 999 NATится на внутренний 192.168.1.1 порт 80, то в правиле нужен порт 80:

add chain=forward protocol=tcp dst-port=80 connection-state=new action=add-src-to-address-list address-list=block_stage1 address-list-timeout=1m comment="" disabled=no

Это добавит и продвинет IP.

Теперь по блокировке: правило блокировки работает в цепочке FORWARD с src-address-list=blocked_addresses.

add chain=forward src-address-list=blocked_addresses action=drop comment="drop blocked" disabled=no

Но этот IP всё равно может сканировать или пытаться перебрать порты на самом роутере (например, порт 8291, 22 если открыт и т.д.).

Поэтому можно добавить ещё одно блокирующее правило в цепочку input. Мы обнаружили, что добавление RAW-правила гораздо лучше — оно останавливает всю дальнейшую обработку и пакеты от заблокированных IP.

/ip/firewall/raw  
add chain=prerouting action=drop in-interface=ether1 src-address-list=blocked_addresses

Кто-то видит проблему в таком подходе? Кажется самым эффективным и безопасным способом блокировки трафика.

При этом в RAW-правилах нельзя указать connection-state=new, поэтому нельзя строить блокирующие правила напрямую в RAW-таблице (иначе будет срабатывать на каждый пакет на этот порт). Поэтому оптимально иметь два набора правил для добавления в blocked_addresses в цепочках FORWARD и INPUT:

add chain=input protocol=tcp dst-port=80 connection-state=new action=add-src-to-address-list address-list=block_stage1 address-list-timeout=1m comment="" disabled=no

Ещё идея — добавить несколько портов для ловли «плохих» сканеров, например, порты 21, 22, 80 и так далее, в INPUT и добавлять их в эскалационные списки blocked_addresses.

Есть ли ошибки в моих предположениях и правилах выше? Есть ли более эффективный способ сделать это? Спасибо и надеюсь, кому-то это поможет.
22.03.2023 20:14:00, bobbyeng.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401856 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401856 Wed, 22 Mar 2023 20:14:00 -0400 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Что насчёт этого? Я не проверял все детали, но судя по всему, это стандартное правило фильтра…
15.06.2019 07:32:00, mkx.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401855 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401855 Sat, 15 Jun 2019 07:32:00 -0400 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Как насчёт такого варианта: /ip firewall filter add action=drop chain=forward comment="Блокировать новые подключения из интернета, которые не проходят через dst-nat" connection-nat-state=!dstnat connection-state=new in-interface=WAN
14.06.2019 19:19:00, craigreilly.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401854 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401854 Fri, 14 Jun 2019 19:19:00 -0400 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Извиняюсь за оживление старой темы, но, возможно, стоит упомянуть, что пакеты можно отбрасывать до dstnat, используя Raw-правила в цепочке prerouting. Пример: /ip firewall raw  
add action=drop chain=prerouting dst-port=3389 in-interface=your_wan_interface protocol=tcp src-address-list=!TRUSTED_IP_ADDRESSES  
Это правило будет отбрасывать любые попытки подключения с IP-адресов, не входящих в список TRUSTED_IP_ADDRESSES, так что они даже не дойдут до dstnat.
22.06.2018 23:11:00, levicki.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401853 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401853 Fri, 22 Jun 2018 23:11:00 -0400 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Фильтрованный NAT Этот параметр определяет, как маршрутизатор обрабатывает входящий трафик. Опция Secure обеспечивает надежный файрвол для защиты компьютеров в сети от интернет-атак, но из-за этого некоторые онлайн-игры, приложения типа «точка-точка» или мультимедийные программы могут не работать. С другой стороны, опция Open предполагает гораздо менее защищённый файрвол, но позволяет почти всем интернет-приложениям функционировать. Вот дополнительные подробности о NAT-фильтрации, которые я нашёл: https://www.vpnranks.com/nat-filtering/
03.03.2017 10:44:00, jeanericblass.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401852 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401852 Fri, 03 Mar 2017 10:44:00 -0500 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
После того как dstnat-пакеты к вашему серверу, который находится за роутером, доходят до цепочки forward, а не input.
15.04.2016 15:43:00, sash7.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401851 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401851 Fri, 15 Apr 2016 15:43:00 -0400 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Fewi, извиняюсь, что залезаю в этот старый пост. Но как насчёт 1:1 NAT? У меня сервер Asterisk с приватным IP. Хочу просто разрешить доступ с конкретных IP на сервер извне, не включая Linux firewall. Так как DST-NAT срабатывает первым, нельзя обработать это через правила входящего фаервола. Пробовал использовать цепочку mangle prerouting с маркировкой соединений и пакетов и применять это в правилах фильтрации, но результата нет. Есть ли у тебя какие-то рекомендации по этому поводу? Заранее спасибо.
15.04.2016 13:27:00, Milos.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401850 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401850 Fri, 15 Apr 2016 13:27:00 -0400 RouterOS Правило фильтрации межсетевого экрана перед правилом NAT RouterOS в форуме RouterOS.
Привет, у меня есть правило NAT для SSH-сервера внутри сети, но чтобы избежать атак перебором, я использую несколько правил фаервола. Однако, похоже, что NAT имеет приоритет над фаерволом. Можно ли это как-то изменить? Чтобы правило NAT работало, но при этом фаервол мог блокировать соединения (если IP в черном списке). Спасибо. RB750G OS4.10 – GrayWolf
04.09.2010 15:35:00, GrayWolf.]]> http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401849 http://mikrotik.moscow/forum/forum57/85974-pravilo-filtratsii-mezhsetevogo-ekrana-pered-pravilom-nat/message401849 Sat, 04 Sep 2010 15:35:00 -0400 RouterOS