Правильно ли дропать невалидные пакеты в микротике в самом начале?

Question

[Алексей Виноградов]

Всем привет, нужен совет, настраиваю firewall mikrotik по типу закрытый фаерфол - все запрещенно, что не разрешено, и возник вопрос стоит ли дропать невалидные пакеты инпута и форварда в самом начале правил? Или все же первым правилом должно быть разрешающие эстаблишет и релейтед? В обоих вариантах интернет, и доступы к серверам работают исправно.

Answer 1

[ben187]

Дропать сразу. Они же инвалидные. Зачем их прогонять по всему фаерволлу?

Answer 2

[l0ser140]

А невалидные пакеты дальше всё равно никак не маршрутизируются потому что они внезапно невалидные.
Поэтому их можно просто отбрасывать фаерволом сразу.

Comments

[Дмитрий Скоромнов]

Через невалидные пакеты можно устроить DoS. поэтому их НУЖНО отбрасывать сразу после разрешения established & related трафика.

Answer 3

[Gansterito]

Лучше первым правилом пропускать пакеты ESTABLISHED и RELATED, а потом уже дропать INVALID.