Как правильно открыть доступ к портам внутри LAN в MikroTik Firewall?

Question

[severnik]

Домашняя сеть. То одно, то другое не работало, как я понял, из-за закрытых по умолчанию портов в фаерволе. Во всяком случае явного запрета в defconf правилах я не вижу. Если пропустил и запрет есть, ткните носом.
Я добавил в конец разрешающее правило на LAN интерфейс и всё заработало. Правильно ли я сделал или как лучше открыть полный доступ в пределах только LAN?

Answer 1

[Gregory]

у вас 5 правило запрешает вход по всем портам КРОМЕ LAN, его одного хватит

Comments

[Сергей О]

5 правило input входящие, 12 forward проходящие через роутер адресату

[severnik]

Так внутри LAN порты и не работали, пока я 12е правило не добавил.
Разве по 5му правилу не должно дропать всё вне LAN только?

[Viktor]

Сергей Орлов, вместо того что бы открвать все всем с непонятными результатами
может проще разабрать случай - у меня нечего не работало
и понять где ошибаетесь
Приведите пример - и картинки

[Сергей О]

severnik, www.opennet.ru/docs/RUS/iptables/#TRAVERSINGOFTABLES (раздел 3)это как работает логика цепочек iptables. что касается вопроса про запрещено тут 10 правило явно запрещает не разрешенные пакеты, 5 правило применяется к другой цепочке, 12 правило по логике обычной не должно уже срабатывать т.к. 10 выше 12 но тут включен механизм passthrough что говорит идти дальше по правилам цепочки
Viktor, проще не сказал бы, картинок рисовать бесплатно вообще не хочется. Что касается открывать "все всем" вникните в мой комментарий а не ответ.

[severnik]

Сергей Орлов, Спасибо, статья помогла немного разобраться. Но осталось тёмное пятно.
В 12м правиле я указал In interface - LAN.
LAN - это список интерфейсов, включающий bridge,
bridge, в свою очередь, объединяет все, кроме ether1 (WAN).
По идее всё ок, и пакеты по логике должны без ограничений ходить только внутри LAN. Но непонятно, как и на каком шаге срабатывает это условие с включенным fasttrack. Насколько понял, про механизм passthrough - это как раз из-за включенного fasttrack?

[Сергей О]

severnik, да это часть фасттрэк и не совсем это разные механизмы немного, оно для разгрузки озу, а фасттрэк тоже для разгрузки но цпу, или сервисы на микротике какие-то. Фасттрэк тут упомянут скорее как концепция быстрой обработки пакета в комментарии. Он включен 0 правилом и действует оттуда и навсегда для проходящих пакетов скорее всего это для впн предусмотрено. Сейчас да ограничения с наружи (ван) запрещено все кроме пинга (3 правило) в лан разрешены все входящие и проходящие и исходящие

Answer 2

[Станислав Валсинатс]

Это похоже на дефолтные правила в старой прошивке.

По идее - дефолт отлично настроен для начального пользователя. Надо просто обновить прошивку и установить стандартные правила. Там с начала запрещается все наиболее явное, потом разрешается все. И от этих правил уже накручивать.

Comments

[severnik]

Прошивка - последняя stable v6.47.4 hap ac^2