Задать вопрос
Vinstrok
@Vinstrok
Веб разработчик
mikrotik

Правильно ли настроен firewall mikrotik?

Ребят нужен совет правильно ли настроен mikrotik firewall по принципу "всё запрещенно что не разрешено"?
spoiler
/ip firewall filter
add action=drop chain=input comment=Bogon_Drop in-interface=ether1 src-address-list=BOGON
add action=drop chain=forward in-interface=ether1 src-address-list=BOGON
add action=drop chain=forward comment=Drop_rdp_black_list dst-port=3389 in-interface=ether1 log=yes \
    log-prefix=firewall protocol=tcp src-address-list=Rdp_black_list
add action=drop chain=input comment="Drop invalid packet" connection-state=invalid in-interface=ether1
add action=drop chain=forward connection-state=invalid
add action=drop chain=forward comment=Port_scanner_drop src-address-list="port scanners"
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=10m chain=forward \
    comment="Port Scaner Detected" in-interface=ether1 protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=10m chain=forward \
    in-interface=ether1 protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=10m chain=forward \
    in-interface=ether1 protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=10m chain=forward \
    in-interface=ether1 protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=10m chain=forward \
    in-interface=ether1 protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=10m chain=forward \
    in-interface=ether1 protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=10m chain=forward \
    in-interface=ether1 protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=accept chain=input comment="Accept established,related" connection-state=established,related
add action=accept chain=input comment="Accept ICMP" protocol=icmp
add action=accept chain=input in-interface=bridge-office
add action=accept chain=input in-interface=bridge-ats
add action=accept chain=input in-interface=bridge-wi-fi
add action=accept chain=input in-interface=bridge-servers
add action=accept chain=input connection-state=established,related disabled=yes in-interface=ether1
add action=accept chain=input comment="PPTP Vpn" dst-address=176.106.244.2 dst-port=1723 in-interface=\
    ether1 protocol=tcp
add action=accept chain=input protocol=gre
add action=accept chain=input comment=WinBox dst-address=176.106.244.2 dst-port=1357 in-interface=ether1 \
    protocol=tcp
add action=drop chain=input comment="drop other packet"
add action=accept chain=forward comment="accept established,related" connection-state=established,related \
    in-interface=ether1
add action=accept chain=forward comment="accept ICMP" protocol=icmp
add action=accept chain=forward comment="Accept ithernet" out-interface=ether1
add action=accept chain=forward in-interface=bridge-office
add action=accept chain=forward in-interface=bridge-wi-fi
add action=accept chain=forward in-interface=bridge-servers
add action=accept chain=forward in-interface=bridge-ats
add action=accept chain=forward comment="Web host Port" dst-address=192.168.0.100 dst-port=80 \
    in-interface=ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward comment="Https Port" dst-address=192.168.0.100 dst-port=443 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward comment="Dns Port" dst-address=192.168.0.100 dst-port=53 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward dst-address=192.168.0.100 dst-port=53 in-interface=ether1 out-interface=\
    bridge-servers protocol=udp
add action=accept chain=forward comment="Ftp Port" dst-address=192.168.0.100 dst-port=21 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward comment="Pop3 Port" dst-address=192.168.0.100 dst-port=110 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward dst-address=192.168.0.100 dst-port=995 in-interface=ether1 out-interface=\
    bridge-servers protocol=tcp
add action=accept chain=forward comment="Imap Port" dst-address=192.168.0.100 dst-port=143 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward dst-address=192.168.0.100 dst-port=993 in-interface=ether1 out-interface=\
    bridge-servers protocol=tcp
add action=accept chain=forward comment="Smtp Port" dst-address=192.168.0.100 dst-port=25 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward dst-address=192.168.0.100 dst-port=465 in-interface=ether1 out-interface=\
    bridge-servers protocol=tcp
add action=accept chain=forward comment="Tor Port" dst-address=192.168.0.100 dst-port=9050 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward comment="Elasticsearch Port" dst-address=192.168.0.100 dst-port=9200 \
    in-interface=ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward comment="IspManager port" dst-address=192.168.0.100 dst-port=1500 \
    in-interface=ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward dst-address=192.168.0.101 dst-port=1501 in-interface=ether1 \
    out-interface=bridge-servers protocol=tcp
add action=accept chain=forward comment="Ssh Port" dst-address=192.168.0.100 dst-port=2000 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=add-src-to-address-list address-list=Rdp_black_list address-list-timeout=2w chain=forward \
    comment=Rdp_add_black_list connection-state=new dst-port=3389 in-interface=ether1 protocol=tcp \
    src-address-list=Rdp_stage3
add action=add-src-to-address-list address-list=Rdp_stage3 address-list-timeout=3m10s chain=forward \
    comment=Rdp_stage3,2,1 connection-state=new dst-port=3389 in-interface=ether1 protocol=tcp \
    src-address-list=Rdp_stage2
add action=add-src-to-address-list address-list=Rdp_stage2 address-list-timeout=3m10s chain=forward \
    connection-state=new dst-port=3389 in-interface=ether1 protocol=tcp src-address-list=Rdp_stage1
add action=add-src-to-address-list address-list=Rdp_stage1 address-list-timeout=3m10s chain=forward \
    connection-state=new dst-port=3389 in-interface=ether1 protocol=tcp
add action=accept chain=forward comment="Rdp Port" dst-address=192.168.0.105 dst-port=3389 in-interface=\
    ether1 out-interface=bridge-servers protocol=tcp
add action=accept chain=forward comment="Ats Port" dst-address=192.168.2.101 dst-port=16000-16255 \
    in-interface=ether1 out-interface=bridge-servers protocol=udp
add action=drop chain=forward comment="drop others forward packet"

  • Вопрос задан
  • 1111 просмотров
1 комментарий
Подписаться 1 Простой 1 комментарий
Пригласить эксперта
Ответы на вопрос 3
Ziptar
@Ziptar
Дилетант широкого профиля
"всё запрещенно что не разрешено" делается следующим образом:
1) разрешающее правило для административного input трафика для доверенных интерфейсов
2) разрешающее правило для административного output трафика для доверенных интерфейсов
3) запрещающее правило для всего forward трафика
4) запрещающее правило для всего input трафика
5) запрещающее правило для всего output трафика

Все остальные правила помещаются перед этими правилами.
Актуально в равной степени для mikrotik firewall и iptables.
Ответ написан
2 комментария
2 комментария
@kursy-po-it
Обучение: https://курсы-по-ит.рф/lp-mikrotik-mtcna
Файрвол в целом настроен неверно. Ошибок много. Попробую привести часть.

Первым правилом для цепочек Input и Forward надо ставить правило разрешающее established & related трафик. Если это не сделать, то будет сильная нагрузка на процессор. Почему так развернуто объясняется здесь: https://www.youtube.com/watch?v=HMpp83VoQfs&t=37s&... . Если кратко, то чем через меньшее количество правил пройдет пакет, тем меньше нагрузка на ЦП маршрутизатора.

Вы сделали много правил для исключений для пробросов портов. Все это можно сократить с помощью инверсии. Так: add action=drop chain=forward connection-nat-state=!dstnat in-interface=!bridge-LAN . Таким образом будет запрещено все кроме проброса портов.

И многое другое ...
Ответ написан
Комментировать
Комментировать
p00h
@p00h
Фехтовальщик-стропальщик 
add action=drop chain=forward comment="drop others forward packet"

правильно
Ответ написан
Комментировать
Комментировать
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы
Вакансии с Хабр Карьеры
Инженер по системному администрированию
Деловая среда от Сбербанка • Москва
До 209 000 ₽
Сетевой инженер
Fix Price • Москва
от 85 000 до 90 000 ₽
Системный администратор
Глобал Смарт Системс • Санкт-Петербург
от 100 000 до 120 000 ₽
Ещё вакансии
Заказы с Хабр Фриланса
Конвертировать ключи в аккаунты whatsapp
09 мая 2024, в 00:49
1000 руб./за проект
Доработать игрового телеграмм бота python, telethon
08 мая 2024, в 23:13
4000 руб./за проект
Верстка лендинга из фигмы
08 мая 2024, в 22:04
500 руб./за проект
Ещё заказы