Почему на Mikrotik с настроенным firewall не возобновляется соединение l2tp и wireguard туннеля?

Question

[FutureDestroyer]

доброго времени суток, есть mikrotik server на ros 7.6, на нём такой firewall

/ip firewall filter
add action=drop chain=input comment="drop 53" in-interface=pppoe protocol=\
    udp src-port=53
add action=drop chain=input comment="drop ping" in-interface=pppoe \
    protocol=icmp
add action=drop chain=input comment="drop invalid" connection-state=invalid \
    in-interface=pppoe
add action=accept chain=input comment="accept established new" \
    connection-state=established,related,new in-interface=pppoe
add action=accept chain=input comment="accept winbox" in-interface=pppoe \
    protocol=udp src-port=8291
add action=accept chain=input comment="accept WireGuard" connection-state="" \
    in-interface=pppoe protocol=udp src-port=13231
add action=accept chain=input comment="accept l2tp 1701" connection-state=\
    established,related in-interface=pppoe log=yes protocol=udp src-port=\
    1701
add action=accept chain=input disabled=yes in-interface=pppoe protocol=udp \
    src-port=4500
add action=accept chain=input disabled=yes in-interface=pppoe protocol=udp \
    src-port=500
add action=drop chain=input comment="drop all" in-interface=pppoe

сервер с белым ip, все к клиенты с серыми. устанавливаю

add action=accept chain=input comment="accept established new" \
connection-state=established,related, in-interface=pppoe

как только у клиента меняется ip адрес, соединение обрывается и больше не восстанавливается. если к established и related добавляю new, то начинает возобновляться. либо могу убрать drop all, тоже всё будет возобновляться. то есть established и related по факту не работает, соответственно с new долбить сервер могут как угодно по открытым портам. подскажите пожалуйста как поправить

Comments

[Drno]

Настройки фаервола микротик читает сверху вниз.
Скорее всего надо правила в нужном порядке расположить

[FutureDestroyer]

Drno, всё верно, поэтому drop all стоит в самом конце. но это не помогает

[brar]

почему у вас src-port везде? Тогда как по логике, это должны быть dst-port. И сделайте только одно правило для установленных соединений, его будет достаточно.

add action=accept chain=input comment="accept established, related"  connection-state=established,related

[FutureDestroyer]

brar, извините лютейше затупил, опять перепутал src и dst, вроде бы всё заработало теперь как надо, еще потестирую, всем большое спасибо
и спасибо за совет

Answer 1

[Valentin Barbolin]

> src-port=13231
не правильно

dst-port=13231