Почему не отрабывают правила Forward в Firewall MikroTik?

Question

[MeredithMcGlynn]

Здравствуйте. Имеется маршрутизатор MikroTik, при настройке задал базовые правила FireWall - для разрешения валидного трафика и запрета остального. Спустя время навешивал на него различные иные правила, всё работало и работает адекватно, однако смущает, что два стандартных правила из цепочки forward показывают обработанный трафик по нулям. Вопрос в следующем: является ли это знаком, что FireWall настроен некорректно, и, если так, как это можно исправить?
Выше по списку правил из цепочки forward нету, за исключением "dummy rule to show fasstrack counters". LAN - bridge с интерфейсами eth2-eth5, WAN - bridge с интерфейсами eth1 и LTE.

Comments

[Артем Кайбагоров]

Покажите выгрузку
/ip f f export

[MeredithMcGlynn]

Конечно.

/ip firewall filter
add action=add-dst-to-address-list address-list=L2TP_Blacklist address-list-timeout=none-static chain=output \
comment=L2TP_Bruteforce_Protection_STAGE3 content="M=bad" dst-address-list=L2TP_Stage2
add action=add-dst-to-address-list address-list=L2TP_Stage2 address-list-timeout=3d chain=output comment=\
L2TP_Bruteforce_Protection_STAGE2 content="M=bad" dst-address-list=L2TP_Stage1
add action=add-dst-to-address-list address-list=L2TP_Stage1 address-list-timeout=3d chain=output comment=\
L2TP_Bruteforce_Protection_STAGE1 content="M=bad"
add action=add-src-to-address-list address-list="Honeypot Hacker" address-list-timeout=4w2d chain=input \
comment="Honeypot TCP" connection-state=new dst-port=21,22,23,25,135-139,445,1723,3389,5060,8291 \
in-interface=ether1 protocol=tcp
add action=add-src-to-address-list address-list="Honeypot Hacker" address-list-timeout=4w2d chain=input \
comment="Honeypot UDP" connection-state=new dst-port=3389,5060 in-interface=ether1 protocol=udp
add action=add-src-to-address-list address-list=Port_Scanners address-list-timeout=4w2d chain=input comment=\
"Port Scanners" in-interface=ether1 protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list=Port_Scanners address-list-timeout=4w2d chain=input comment=\
"NMAP FIN Stealth scan" in-interface=ether1 protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list=Port_Scanners address-list-timeout=4w2d chain=input comment=\
"SYN/FIN scan" in-interface=ether1 protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list=Port_Scanners address-list-timeout=4w2d chain=input comment=\
"SYN/RST scan" in-interface=ether1 protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list=Port_Scanners address-list-timeout=4w2d chain=input comment=\
"FIN/PSH/URG scan" in-interface=ether1 protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list=Port_Scanners address-list-timeout=4w2d chain=input comment=\
"ALL/ALL scan" in-interface=ether1 protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list=Port_Scanners address-list-timeout=4w2d chain=input comment=\
"NMAP NULL scan" in-interface=ether1 protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=accept chain=input comment="\D0\E0\E7\F0\E5\F8\E5\ED\E8\E5 \EF\EE\F0\F2\EE\E2 VPN" dst-port=\
500,1701,4500 in-interface=ether1 protocol=udp src-address-list=CountryIPBlocks
add action=accept chain=input comment="\D0\E0\E7\F0\E5\F8\E5\ED\E8\E5 \EF\EE\F0\F2\EE\E2 VPN" in-interface=\
ether1 protocol=ipsec-esp src-address-list=CountryIPBlocks
add action=accept chain=input comment="\D0\E0\E7\F0\E5\F8\E5\ED\E8\E5 \E2\F1\E5\F5 \ED\E0\E4\E5\E6\ED\FB\F5 \E2\
\F5\EE\E4\FF\F9\E8\F5 \EF\E0\EA\E5\F2\EE\E2" connection-state=established,related
add action=drop chain=input comment=\
"\D1\E1\F0\EE\F1 \E2\F1\E5\F5 \E2\F5\EE\E4\FF\F9\E8\F5 \E1\E8\F2\FB\F5 \EF\E0\EA\E5\F2\EE\E2" \
connection-state=invalid
add action=accept chain=forward comment="\D0\E0\E7\F0\E5\F8\E5\ED\E8\E5 \E2\F1\E5\F5 \ED\E0\E4\E5\E6\ED\FB\F5 \
\F2\F0\E0\ED\E7\E8\F2\ED\FB\F5 \EF\E0\EA\E5\F2\EE\E2" connection-state=established,related ipsec-policy=\
out,ipsec
add action=drop chain=forward comment=\
"\D1\E1\F0\EE\F1 \E2\F1\E5\F5 \F2\F0\E0\ED\E7\E8\F2\ED\FB\F5 \E1\E8\F2\FB\F5 \EF\E0\EA\E5\F2\EE\E2" \
connection-state=invalid
add action=drop chain=input comment="\D1\E1\F0\EE\F1 \E2\F1\E5\F5 \E2\F5\EE\E4\FF\F9\E8\F5 \EF\E0\EA\E5\F2\EE\
\E2 \E8\E7 \E2\ED\E5\F8\ED\E5\E9 \F1\E5\F2\E8" in-interface-list=!LAN
add action=drop chain=forward comment="\D1\E1\F0\EE\F1 \E2\F1\E5\F5 \ED\EE\E2\FB\F5 \F2\F0\E0\ED\E7\E8\F2\ED\FB\
\F5 \EF\E0\EA\E5\F2\EE\E2 \EA\F0\EE\EC\E5 \F2\E5\F5, \F7\F2\EE \F0\E0\E7\F0\E5\F8\E5\ED\FB \EF\F0\EE\E1\F0\
\EE\F1\EE\EC \EF\EE\F0\F2\EE\E2" connection-nat-state=!dstnat connection-state=new connection-type="" \
in-interface-list=WAN
add action=fasttrack-connection chain=forward connection-state=established,related
add action=accept chain=forward comment="\D0\E0\E7\F0\E5\F8\E5\ED\E8\E5 \F2\F0\E0\ED\E7\E8\F2\ED\FB\F5 \EF\E0\
\EA\E5\F2\EE\E2, \E8\F1\F5\EE\E4\FF\F9\E8\F5 \E8\E7 \ED\E0\F8\E5\E9 \CB\C2\D1" connection-state=\
established,related connection-type=""
add action=accept chain=input comment="\D0\E0\E7\F0\E5\F8\E5\ED\E8\E5 Ping \F0\EE\F3\F2\E5\F0\E0" disabled=yes \
protocol=icmp

Answer 1

[Дмитрий]

Первое правило может быть по нулям, если никто из внутренней сети не ходил в интернет. Втрое пусто т.к. никто снаружи из-за роутера не пробовал "проломить" NAT.
В общем вполне реальное состояние, ничего особенного