http://mikrotik.moscow Новое в теме Default firewall config форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 12:51:44 -0400 Default firewall config RouterOS в форуме RouterOS.
Начинающий вопрос: Нужно ли мне настраивать список интерфейсов, чтобы ваша конфигурация фаервола была эффективной, или «блокировать все, что не приходит из LAN» и «блокировать все из WAN, что не DSTNATed» также будут работать с указанными настройками? /ip firewall filter add action=accept chain=input comment=“принимать установленные, связанные” \ connection-state=established,related add action=drop chain=input comment=“блокировать недопустимые” connection-state=invalid add action=accept chain=input comment=“принимать ICMP” protocol=icmp add action=drop chain=input comment=“блокировать все, что не приходит из LAN” \ in-interface=!bridge1-LAN add action=accept chain=forward comment=“принимать установленные, связанные” \ connection-state=established,related add action=drop chain=forward comment=“блокировать недопустимые” connection-state=invalid add action=accept chain=forward comment=“принимать по политике ipsec” \ ipsec-policy=in,ipsec add action=accept chain=forward comment=“принимать по политике ipsec на выход” \ ipsec-policy=out,ipsec add action=drop chain=forward comment=“блокировать все из WAN, что не DSTNATed” \ connection-nat-state=!dstnat in-interface=ether1-Internet /interface bridge port add bridge=bridge1-LAN interface=ether2-LAN add bridge=bridge1-LAN interface=ether3-LAN add bridge=bridge1-LAN interface=ether4-LAN add bridge=bridge1-LAN interface=ether5-LAN add bridge=bridge1-LAN interface=wifi2-2.4ghz /interface ethernet set [ find default-name=ether1 ] name=ether1-Internet set [ find default-name=ether2 ] name=ether2-LAN set [ find default-name=ether3 ] name=ether3-LAN set [ find default-name=ether4 ] name=ether4-LAN Или, более общим образом, будет ли эта конфигурация такой же эффективной, как та, что вы опубликовали выше?
10.08.2024 18:00:00, whuupwhuup.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407863 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407863 Sat, 10 Aug 2024 18:00:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Да!
11.07.2024 00:31:00, anav.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407862 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407862 Thu, 11 Jul 2024 00:31:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
К сожалению, вы не предоставили текст для перевода. Пожалуйста, вставьте текст, который вы хотите перевести.
10.07.2024 23:54:00, gt57.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407861 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407861 Wed, 10 Jul 2024 23:54:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Здравствуйте, извините, что поднимаю этот вопрос, но почему разрешать untracked? По умолчанию фаервол ROS из скрипта установки без untracked! Почему вы поставили галочку “untracked”? Я использую это: /ip firewall filter add action=accept chain=input comment="default: accept established,related" connection-state=established,related add action=accept chain=forward comment="default: accept established,related" connection-state=established,related С наилучшими пожеланиями, Борис.
29.09.2021 06:55:00, bpavlinic.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407860 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407860 Wed, 29 Sep 2021 06:55:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Это очень ясное объяснение того, как это работает. Спасибо!
10.06.2021 12:38:00, stuartkoh.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407859 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407859 Thu, 10 Jun 2021 12:38:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Хорошо, я вижу в другой теме, что ты на самом деле предоставляешь PPPOE ISP-аккаунты на всех своих etherports, так что это больше, чем просто простое вторжение в дом. Я перейду в другую тему для дальнейшего обсуждения. http://forum.mikrotik.com/t/after-applied-filter-rule-internet-connect-not-stable/149412/1
31.05.2021 12:54:00, anav.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407858 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407858 Mon, 31 May 2021 12:54:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Я не могу перевести текст, потому что он состоит только из символов и не содержит никакой информации для перевода.
31.05.2021 12:24:00, rextended.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407857 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407857 Mon, 31 May 2021 12:24:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Кевин, твои правила файрвола ужасные и совершенно не безопасные. Очевидно, что ты пока недостаточно разбираешься в конфигурациях MT, чтобы вникать в сложные моменты… Тебе было бы гораздо лучше и безопаснее придерживаться стандартных правил и задуматься, нужно ли тебе что-то ещё. Просто потому что YouTube или любой другой источник говорит, что тебе нужно всё это дополнительное, для домашнего использования это просто не требуется.
31.05.2021 11:14:00, anav.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407856 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407856 Mon, 31 May 2021 11:14:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Нужна помощь с правилом моего файрвола. После того как я применил настройки, соединение с моего ноутбука стало нестабильным. Вот правило, которое я применил:

/ip firewall address-list add address=0.0.0.0/8 comment=“Самоидентификация [RFC 3330]” list=Bogons
add address=10.0.0.0/8 comment=“Частный [RFC 1918] - КЛАСС A # Проверьте, нужно ли вам эта подсеть перед ее активацией” list=Bogons
add address=127.0.0.0/8 comment=“Циклический [RFC 3330]” list=Bogons
add address=169.254.0.0/16 comment=“Локальная ссылка [RFC 3330]” list=Bogons
add address=172.16.0.0/12 comment=“Частный [RFC 1918] - КЛАСС B # Проверьте, нужно ли вам эта подсеть перед ее активацией” list=Bogons
add address=192.0.2.0/24 comment=“Зарезервировано - IANA - TestNet1” list=Bogons
add address=192.88.99.0/24 comment=“6to4 Relay Anycast [RFC 3068]” list=Bogons
add address=198.18.0.0/15 comment=“Тестирование NIDB” list=Bogons
add address=198.51.100.0/24 comment=“Зарезервировано - IANA - TestNet2” list=Bogons
add address=203.0.113.0/24 comment=“Зарезервировано - IANA - TestNet3” list=Bogons
add address=224.0.0.0/4 comment=“MC, Класс D, IANA # Проверьте, нужно ли вам эта подсеть перед ее активацией” list=Bogons

/ip firewall filter add action=accept chain=forward comment=“defconf: принять установленные, связанные” connection-state=established,related
add action=drop chain=forward comment=“defconf: сбросить недопустимые” connection-state=invalid
add action=accept chain=input port=69 protocol=udp
add action=accept chain=forward port=69 protocol=udp
add action=drop chain=forward comment=“defconf: сбросить все с WAN, не DSTNATed” connection-nat-state=!dstnat connection-state=new in-interface=ether1
add action=drop chain=forward comment=“Сброс до списка богона” dst-address-list=Bogons
add action=accept chain=input protocol=icmp
add action=accept chain=input connection-state=established
add action=accept chain=input connection-state=related
add action=drop chain=input in-interface=ether1

Кевин
30.05.2021 15:18:00, kevintkv.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407855 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407855 Sun, 30 May 2021 15:18:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
По умолчанию есть правила, и затем о том, как получить более адаптированное правило, которое гарантирует, что только АДМИН имеет полный доступ к маршрутизатору в цепи ввода, и только трафик, разрешенный админом, обслуживается в цепи пересылки. DEFAULT /ip firewall filter add action=accept chain=input connection-state=established,related,untracked add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid add action=accept chain=input protocol=icmp add action=drop chain=input in-interface-list=!LAN ++++++++++++++++++++++++++++++++++++++++++++++++++++ add action=accept chain=forward comment=“defconf: accept in ipsec policy” ipsec-policy=in,ipsec add action=accept chain=forward comment=“defconf: accept out ipsec policy” ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related add action=accept chain=forward comment=“defconf: accept established,related, untracked” connection-state=established,related,untracked add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid add action=drop chain=forward comment=“defconf: drop all from WAN not DSTNATed” connection-nat-state=!dstnat connection-state=new in-interface-list=WAN Посмотрите на это, чтобы понять, что вы хотите сделать. Правила INPUT касаются трафика к маршрутизатору и от него. Правила FORWARD относятся к трафику через маршрутизатор (WAN к LAN, LAN к WAN, LAN к LAN). Правила OUTPUT редко используются. Правила NAT обычно применяются для перенаправления портов (dst nat) и назначения публичных IP на частные IP перед выходом (src nat), однако в языке MT их можно использовать в различных ситуациях. IP маршруты используются для определения исходящего пути пакетов. Вот моя минималистичная, но безопасная настройка. (1) Идея заключается в том, чтобы перейти от стандартной настройки (которая безопасна, но не целевая) и имеет концепцию разрешения всего и блокировки того, что вам не нужно, к тому, что предыдущий автор и большинство тех, кто предпочитает изменить параметры, чтобы БЛОКИРОВАТЬ ВСЕ по умолчанию, а затем указать, что разрешено. (2) Правильно, что цель в цепи ввода, для безопасности, состоит в том, чтобы только администратору был предоставлен доступ к маршрутизатору, но пользователи/устройства могут нуждаться в некоторых услугах, обычно DNS. (3) Для защиты VLAN от VLAN и любого трафика к и от LAN правила брандмауэра в цепи пересылки вступают в силу. Тот же принцип, что и выше, применяется, модифицируя стандартные правила в концепцию блокировки всего, кроме того, что вы хотите разрешить. Все правила выше линии +++++ это стандартные, которые мы хотим сохранить, а ниже — это те, которые добавляет администратор. ПРИМЕЧАНИЕ: В цепи ввода не следует добавлять ПОСЛЕДНЕЕ ПРАВИЛО — правило DROP, пока не будет установлено правило разрешения доступа для администратора, иначе можно заблокироваться! ИЗМЕНЕНИЕ ip firewall filter {цепь ввода} add action=accept chain=input comment= “defconf: accept established,related,untracked” connection-state=established,related,untracked add action=drop chain=input comment=“defconf: drop invalid” connection-state=invalid add action=accept chain=input comment=“defconf: accept ICMP” protocol=icmp +++++++++++++++++++++++++++++++++++++++++++++++++++++++++ add action=accept chain=input comment=“Разрешить АДМИНИСТРАТОРУ доступ к маршрутизатору” = in-interface-list=MGMT src-address-list=adminaccess add action=accept chain=input comment=“Разрешить запросы DNS от LAN - TCP” connection-state=new dst-port=53 in-interface-list=LAN protocol=tcp add action=accept chain=input comment=“Разрешить запросы DNS от LAN - UDP” connection-state=new dst-port=53 in-interface-list=LAN protocol=udp add action=drop chain=input comment=“Блокировать все остальное” … {цепь пересылки} add action=accept chain=forward comment=“defconf: accept in ipsec policy” ipsec-policy=in,ipsec add action=accept chain=forward comment=“defconf: accept out ipsec policy” ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment=“defconf: fasttrack” connection-state=established,related add action=accept chain=forward comment=“defconf: accept established,related, untracked” connection-state=established,related,untracked add action=drop chain=forward comment=“defconf: drop invalid” connection-state=invalid +++++++++++++++++++++++++++++++++++++++++++++++++++++++++ add action=accept chain=forward comment=“разрешить трафик LAN к WAN” in-interface-list=LAN out-interface-list=WAN add action=accept chain=forward comment=“Разрешить перенаправление портов” \ {отключите, когда не нужно} connection-nat-state=dstnat add action=drop chain=forward comment=“блокировать все остальное” (4) Правило цепи ввода, требующее списка адресов брандмауэра для доступа администратора, обеспечивает доступ только для IP-адресов LAN, которые идентифицированы к маршрутизатору (через winbox, например). Обычно вы устанавливаете свои IP-адреса через аренду DHCP на маршрутизаторе как статические, фиксированные IP. /ip firewall address-list add address=ip_admin-desktop list=adminaccess add address=ip_admin-laptop list=adminaccess add address=ip_admin-smartphone list=adminaccess (5) Другая часть этого правила, как вы могли заметить, является interface-list=MGMT. Обычно это сценарий. /interface list add comment=defconf name=WAN add comment=defconf name=LAN add name=MGMT (по желанию) add name=VlansWith-Internet (по желанию, но если вы не позволяете всем VLAN выходить в интернет, это обеспечивает простой способ настройки) /interface list member add comment=defconf interface=Ether1 list=WAN add interface=bridge list=LAN add interface=vlan10 list=MGMT (это определяет управляемую LAN, обычно это домашняя LAN, на которой находится администратор) +++++++++++++++++++++++++++++++++++++ add interface=ether5 list=LAN (если у вас есть аварийный порт доступа на маршрутизаторе, чтобы получить к нему доступ для настройки на случай, если мост или основная LAN выйдет из строя) add interface=ether5 list=MGMT (чтобы можно было получить доступ к маршрутизатору из аварийного доступа для настройки) (6) Можете угадать, где еще мы используем MGMT? Правильно. Посмотрите на TOOLS MACSERVER. Установите WINBOX- MAC сервер interface=MGMT. (7) Перейдите в IP Services и отключите все службы, кроме WINBOX и, возможно, SSH в качестве резервного варианта a. измените порт по умолчанию на что-то другое, но запишите это! b. в Available from укажите подсети выше, которые применимы (подсеть vlan10 и подсеть ether5) (8) Перейдите в SYSTEM USERS и для логинов, разрешенных для доступа к winbox, укажите те же подсети, что и в пункте b. Таким образом, в итоге вы ограничите доступ к маршрутизатору (для целей настройки) правилами входа (имя пользователя и пароль и подсети) через доступ winbox (номер порта и подсети) через правила брандмауэра, которые ограничивают доступ к серверу winbox через правила брандмауэра, которые ограничивают доступ по подсетям и IP-адресам. Я бы предпочел управлять крысами, чем программным обеспечением. Следуйте моему совету на свой страх и риск! (Sob & mkx заставили меня это написать!)
28.04.2021 21:44:00, anav.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407854 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407854 Wed, 28 Apr 2021 21:44:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Дав эту инструкцию, пользователь, вероятно, вставил её и заблокировал роутер: Список LAN: пустой или нет? Список WAN: пустой или нет? добавьте действие=бросить цепочка=ввод комментарий=“бросить все, что не исходит из LAN” в-интерфейс-список=!LAN = бросить все, что не из LAN, но если список LAN пуст, то это = бросить все входящие на роутер (кроме пинга), но просто отвечать на пинг.
28.04.2021 16:32:00, rextended.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407853 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407853 Wed, 28 Apr 2021 16:32:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
в модифицированной последней строке вы блокируете устройство, и не можете настроить его снова без полного сброса, но оно отвечает на пинг
28.04.2021 16:27:00, rextended.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407852 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407852 Wed, 28 Apr 2021 16:27:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Привет, у меня быстрый вопрос. Исходя из твоей конфигурации брандмауэра для входящей цепочки из примера выше: /ip firewall filter добавляем действие=accept, цепочка=input, комментарий="принимать установленные, связанные, не отслеживаемые", состояние соединения=установлено, связано, не отслеживается. Добавляем действие=drop, цепочка=input, комментарий="отклонить недопустимые", состояние соединения=недопустимо. Добавляем действие=accept, цепочка=input, комментарий="принимать ICMP", протокол=icmp. Добавляем действие=drop, цепочка=input, комментарий="отклонить все, не приходящее из локальной сети", интерфейс-входа=!LAN. Теоретически, если мы изменим последнюю строку с: добавляем действие=drop, цепочка=input, комментарий="отклонить все, не приходящее из локальной сети", интерфейс-входа=!LAN на: добавляем действие=drop, цепочка=input, комментарий="отклонить все остальные", сможем ли мы получить ответ icmp от интерфейса LAN маршрутизатора (если отправить его из локальной сети тоже)?
28.04.2021 16:11:00, spidereczek.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407851 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407851 Wed, 28 Apr 2021 16:11:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Не собираюсь отвечать прямо. Пакет сопоставляется с правилами в межсетевом экране (фильтр, raw, nat и т.д.) в порядке сверху (номер 0) вниз. Когда речь идет о фильтре межсетевого экрана, пакет сначала проверяется, чтобы определить правильную цепочку (inout, output или forward). Порядок правил имеет несколько целей: правильное фильтрование... если пакет должен быть отброшен, то правило об отклонении должно быть перед правилом, которое разрешает пакет. Это означает, что более специфичное правило должно находиться выше более общего правила, если их действие не одинаково. производительность... идея состоит в том, чтобы либо принять, либо отклонить пакет как можно скорее. И поэтому выше в списке правил должны быть фильтры, которые применимы к большему числу пакетов. И мы всегда полагаемся на состояние отслеживания соединений. Поэтому правило, о котором вы спрашивали: давайте предположим, что мы отслеживаем все соединения. Состояние пакета может быть новым, установленным, связанным или недействительным. Соединение не может достичь состояния установленного/связанного, не будучи сначала новым, и если мы разрешили соединение, когда оно было новым, мы должны разрешить его, когда оно в состоянии установленного/связанного. И помните, подавляющее большинство пакетов соединения передается, когда оно установлено (TCP-соединение новое только во время начального трехстороннего рукопожатия, которое включает всего 3 пакета, 2 из которых без полезных данных, последний также может быть таким). Так что если мы разместим цитируемое правило наверху, подавляющее большинство пакетов будет сопоставлено лишь с одним правилом. Если бы им пришлось проходить через множество правил, отклоняющих определенные пакеты, процессору маршрутизатора пришлось бы работать намного больше.
02.04.2020 18:53:00, mkx.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407850 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407850 Thu, 02 Apr 2020 18:53:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Правильны ли правила фильтрации брандмауэра в приведённом выше порядке? Я имею в виду, например, является ли это правилом номер 1: добавить action=accept chain=input comment=“принимать установленные, связанные, не отслеживаемые” connection-state=established,related,untracked Спасибо.
02.04.2020 18:14:00, mur.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407849 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407849 Thu, 02 Apr 2020 18:14:00 -0400 RouterOS Default firewall config RouterOS в форуме RouterOS.
Ребята, извини, что беспокою, но у меня есть вопрос, на который мне нужно получить ответ, и после поиска в интернете это полная загадка для меня. Я явно не эксперт по фаерволам. Я использую ccr1009 (это была настоящая находка) в домашних условиях и только сейчас осознал, что мой список правил фаервола абсолютно ПУСТОЙ. Изначально я настраивал маршрутизатор с помощью начальной страницы настройки на сайте документации Mikrotik. (Я не использовал страницу Quickset, но, возможно, стоило бы?) На странице начальной настройки никогда не говорилось о добавлении каких-либо правил фаервола. У меня также работает DHCP-сервер для одной сети, и к нему подключен коммутатор Mikrotik. Наверное, слишком много информации, но везде, где я читал, говорилось, что эти маршрутизаторы созданы для работы сразу из коробки и готовы к использованию. Я предполагал, что стандартный фаервол включен, но в списке нет абсолютно никаких правил, так что, насколько я понимаю, он может быть и выключен. Почему у моего маршрутизатора нет правил? Мой вопрос в том, как я могу добавить базовые правила в мой фаервол. Мне не нужно ничего лишнего или специального. Я хочу, чтобы все было просто, лаконично и эффективно. Это обычная домашняя среда. Как я могу получить базовый скрипт этих стандартных правил, чтобы добавить их через терминал? Или я ошибаюсь, и есть какие-то базовые правила, которые автоматически включены, но я их не вижу? Или мне вообще не нужно добавлять правила, поскольку я в обычной домашней среде и получаю динамический адрес от моего провайдера? Я полный новичок, так что, пожалуйста, простите меня.
03.11.2019 01:57:00, Johncomptom1.]]> http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407848 http://mikrotik.moscow/forum/forum57/86541-default-firewall-config/message407848 Sun, 03 Nov 2019 01:57:00 -0400 RouterOS