Как настроить фильтр фаервола Mikrotik для входящих подключений?

Question

[BILL-BUFALO]

Доброго времени господа. Подскажите как правильно настроить фильтр для тех, кто подключается к моему микротику по PPTP и L2TP с целью поднять мост? После праздников в логе роутера начали появляться сообщения, что кто-то пытается подключиться, и не может. У меня были прописаны правила в фаерволе для chain-forward на drop для списка ip-адресов, но раз я вижу сообщения в логах, значит что-то делаю не так, и правило не работает? Или это нормально видеть, даже с настроенным списком правил?

Comments

[Diman89]

Цепочка forward - для устройств за роутером
Для входящих самого роутера - input

[Юрий MikroTik]

Если pptp и l2tp не используется - отключи их и настрой фаервол.

Answer 1

[Артем Кайбагоров]

Эти записи говорят о том, что кто-то пытается подключиться к vpn серверу на роутере, то есть это цепочка input. Чтобы минимизировать риски взлома есть разные способы - белый список, port knocking, блокировка ip после нескольких неудачных попыток подключения.

Answer 2

[Кот Абсолютный]

У меня были прописаны правила в фаерволе для chain-forward

Сначала берем любую статью, хоть самую древнюю по ipfilter. Читаем. Понимаем, что chain forward - это про то, что передается за роутер, в локалку, а все, что принимается самим роутером, идет в chain input. То есть можно тупо задублировать правила, которые блокируют forward и вместо forward указать input.

Comments

[Ziptar]

Я таки рекомендую вики микрота про packet flow. Максимально подробно расписано, и самые толковые схемы, что я видел.

[Кот Абсолютный]

Ziptar, не, я рекомендую вот эту замечательную картинку. Она у меня над столом висит - и это единственная схема (кроме wiki mikrotik, но там не на одном листе), на которой отражен момент, где показано, в каком месте обрабатывается ipsec.

[Ziptar]

Кот Абсолютный, ну мне как раз нравятся микротиковские, потому что они на разные схемы разнесены, читается проще, когда нужна какая-то отдельная конкретика, а в общем и целом проблем это разделение не добавляет