По умолчания в mikrotik 951Ui-2HnD под RouterOS 6.43.7 такие правила :
/ip firewall filter
1 add action=accept chain=input connection-state=established,related,untracked
2 add action=drop chain=input connection-state=invalid
3 add action=accept chain=input protocol=icmp
4 add action=drop chain=input in-interface-list=!LAN
5 add action=accept chain=forward ipsec-policy=in,ipsec
6 add action=accept chain=forward ipsec-policy=out,ipsec
7 add action=fasttrack-connection chain=forward connection-state=\ established,related
8 add action=accept chain=forward connection-state=\ established,related,untracked
9 add action=drop chain=forward connection-state=invalid
10 add action=drop chain=forward connection-nat-state=!dstnat connection-state=\ new in-interface-list=WAN
#
/ip firewall nat
11 add action=masquerade chain=srcnat ipsec-policy=out,none out-interface-list=\ WAN
Можете объяснить что какой пункт значит ?
Помогите разобратся в ip firewall filter
Правила форума
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.
1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку "Действия до настройки роутера".
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.
1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку "Действия до настройки роутера".
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.
-
vqd
- Модератор
- Сообщения: 3600
- Зарегистрирован: 26 сен 2013, 14:20
- Откуда: НСК
- Контактная информация:
1 add action=accept chain=input connection-state=established,related,untracked -разрешает в цепочке input весь трафик established,related,untracked
2 add action=drop chain=input connection-state=invalid - запрещает в цепочку инпут весь инвалид трафик
3 add action=accept chain=input protocol=icmp - разрешает в цепочке инпут весь ИЦМП трафик
4 add action=drop chain=input in-interface-list=!LAN - запрещает весь трафик в цепочке инпут кроме трафика с интерфейсов в группе LAN
5 add action=accept chain=forward ipsec-policy=in,ipsec - разрешать в цепочке форварт трафик in,ipsec
6 add action=accept chain=forward ipsec-policy=out,ipsec - разрешать в цепочке форварт трафик out,ipsec
7 add action=fasttrack-connection chain=forward connection-state=\ established,related - пускает в цепочке форвард весь трафик established,related сразу на интерфейс назначения
8 add action=accept chain=forward connection-state=\ established,related,untracked - разрешает трафик established,related,untracked в форварде
9 add action=drop chain=forward connection-state=invalid - запрешает в форварде трафик инвалид
10 add action=drop chain=forward connection-nat-state=!dstnat connection-state=\ new in-interface-list=WAN - запрещает весь новый трафик с группы интерфейсов WAN кроме dstnat
2 add action=drop chain=input connection-state=invalid - запрещает в цепочку инпут весь инвалид трафик
3 add action=accept chain=input protocol=icmp - разрешает в цепочке инпут весь ИЦМП трафик
4 add action=drop chain=input in-interface-list=!LAN - запрещает весь трафик в цепочке инпут кроме трафика с интерфейсов в группе LAN
5 add action=accept chain=forward ipsec-policy=in,ipsec - разрешать в цепочке форварт трафик in,ipsec
6 add action=accept chain=forward ipsec-policy=out,ipsec - разрешать в цепочке форварт трафик out,ipsec
7 add action=fasttrack-connection chain=forward connection-state=\ established,related - пускает в цепочке форвард весь трафик established,related сразу на интерфейс назначения
8 add action=accept chain=forward connection-state=\ established,related,untracked - разрешает трафик established,related,untracked в форварде
9 add action=drop chain=forward connection-state=invalid - запрешает в форварде трафик инвалид
10 add action=drop chain=forward connection-nat-state=!dstnat connection-state=\ new in-interface-list=WAN - запрещает весь новый трафик с группы интерфейсов WAN кроме dstnat
Есть интересная задача и бюджет? http://mikrotik.site
-
sonic2006
- Сообщения: 14
- Зарегистрирован: 24 авг 2016, 21:45
Спасибо.
Можете посоветовать хороший вариант защиты роутера ?
Небольшой офис, белый ip, переадресация портов 80,22 из одного ПК в локальной сети на внешний wan. Нужна защита из вне.
Можете посоветовать хороший вариант защиты роутера ?
Небольшой офис, белый ip, переадресация портов 80,22 из одного ПК в локальной сети на внешний wan. Нужна защита из вне.
-
Dragon_Knight
- Сообщения: 1721
- Зарегистрирован: 26 мар 2012, 18:21
- Откуда: МО, Мытищи
- Контактная информация:
Защита из вне это сам NAT по сути...
Защита роутера заключается в отключении ненужных служб и разрешение их работы только из локальный сети + поменять стандартную учётную запись удалив и добавив свою.
Защита роутера заключается в отключении ненужных служб и разрешение их работы только из локальный сети + поменять стандартную учётную запись удалив и добавив свою.
Небольшой свод правил логики и ссылок:
- Если устройство имеет Ethernet порт, то оно обязано быть подключено через него. Компьютер, Ноутбук, Телевизор, Принтер, Камера видеонаблюдения, и т.д.
- Если нет возможности протянуть кабель, то найдите её, или страдайте со своими проблемами Wi-Fi дальше.
- Wi-Fi это сеть для мобильных устройств. Если Вы подключили свой шикарный 50" телевизор не кабелем, то без фотоотчёта, когда он лежит у Вас в кармане дальнейшего разговора не получиться. Это относится и ко всем остальным устройствам.
- Если Ваше устройство вызывает вопросы в работе, первое что необходимо делать: NetInstall + дальнейшая настройка вручную.
- Не используйте WebFig или QuickSet - это пути к глюкам и ошибкам. Только SSH или WinBox, и да, - WinBox есть под Android.
- name.rsc - это текстовый файл, и Вы можете его открыть блокнотом.
- Если Вы хотите связаться со мной для ремонта или настройки, то: Telegram ( Не благотворительность ).
- Мой сайт по Mikrotik: Global Zone >> MikroTik.
-
Vlad-2
- Модератор
- Сообщения: 2527
- Зарегистрирован: 08 апр 2016, 19:19
- Откуда: Петропавловск-Камчатский (п-ов Камчатка)
- Контактная информация:
1) Роутер защищает Вашу сеть.
2) Его по идеи защищать не нужно (глобально)
3) Если роутер тоже надо защищать = это плохой роутер
4) В Микротике всё сделано в виде кирпичиков, поэтому результат
может быть каким угодным, это лишь от "мастера" зависит в итоге,
проще говоря - как Вы сами сделаете защиту, такая она и будет.
Не готовы: значит или пользоваться только пре-заводскими настройками,
либо как бы это не звучало грубо - найти другой роутер.
5) Ну и опять же: тут на форуме было много примеров файрвола, поищите темы,
почитайте, соберите эти знания вместе (с учётом Ваших нужд) и примените их.