CityCat4

Немет сотоварищи разумеется. Цена правда у нее кусачая.

Ломать будут :) Пароли подбирать, занимать ресурсы. Логин рута запретить, заход только по ключу, ограничить диапазон IP. Можно еще порт сменить, но это отлавливается быстро, хотя в комплексе помогает.

Я всем рекомендую эту картинку, которая нагляднее некуда показывает, как пакеты проходят netfilter
Вот неплохая статья

Интересно, какая модель микротика. У меня при включении L7 для блокировки TeamViewer rb2011 тут же вставал раком.
teamviewer для таких целей набрал кучу адресов - Вы уверены, что заблокировали их все? :) Он сначала пробует порт, потом начинает перебирать адреса. Я уверен, AnyDesk делает точно так же.
Поставьте клиента на тестовую тачку и сниффите на микротике - вот и будет процесс установки соединения. А потом накидайте скрипт для резолва *.anydesk.com по всему IPv4 пространству - или может уже есть у кого...

USB файрволлов не бывает.

сервер же будет находиться в DMZ.

Прежде чем использовать термины - уточняйте плизх их значения. Не будет у Вас DMZ, потому что не будет у Вас промежучтоных серверов.
По вопросу - спросите у гугла, что такое микротик :)

Существуют ли маршрутизаторы open source без закладок?

Преогромнейшее количество

Решения принимает тот, кто главный :)

Поэтому фильтровать, куда пускать юзеров с филиала нужно на центральном микротике. Не знаю, как это делается в L2TP, но в чистом IPSec пакеты проходят Filter два раза и фильтрую я их на втором проходе, когда они уже расшифрованные.

1. НЕ использовать PPTP
2. Не использовать PSK в IPSec, использовать только сертификаты, выпущенные в заданном CA - пусть хоть опухнут от перебора

Только на нешифрованном трафике через L7-фильтр, но как я уже отметил - L7-фильтр очень сильно грузит микротик.
Шифрованный трафик не проконтролировать никак - только прокси с бампингом.

Хорошую доку по iptables подказать? В микротике все по стандарту, есть немного доработок для пущего удобства, а так все по стандарту...

Я начинал с этого

Методом тыка - то есть ткни там, напиши здесь, next-next-next и пр. - не получится. Нужно понимание того, что делаешь.

FTP - очень старый протокол, разработанный в эпоху "безопасного Интернета", которая кончилась где-то в 2004 году... У него два порта и два направления трафика - порт управления и порт данных. И два режима - активный и пассивный. Порт 21 - это порт управления, по нему отдают команды. А вот все данные, даже оглавление папок передается по порту 20 - ftp-data. И тут как раз играет рояль - активный или пассивный (поручики, молчать!).
Активный сервер отдает клиенту порт, по которому он будет подключаться к клиенту и передавать данные. Пассивный ждет порт от клиента, но подключаться все равно будет сам.

Блокирует ли squid 100% протокол https?

Блокирует. Но при определенном наборе условий.

- Можно заблокировать весь vk.com целиком, например, блокируя CONNECT к нему
- Если хочется не только блокировать, но и знать, куда ходили - нужно настраивать бампинг, выпускать сертификаты. Это на самом деле не так уж и сложно, но головой поработать придется

Доступ для разных групп пользователей - это вообще говоря отдельный и немаленький вопрос, с которым все справляются по-разному, в том числе и через группы в AD :)

1. Нельзя. Это не FreeBSD, iptables не ipfw.
2. Указывать доменное имя смысла не имеет, микротик сам отрезолвит и заменит на IP.

Администрирование - это набор практик. Ставьте конкретную задачу - и начинайте ее решать, попутно гугля все вопросы - и к концу решения задачи сами сможете консультировать :)

ipfw стоит изначально, а большинство не любит лишних телодвижений. В ipfw есть netgraph. На ipfw рассчитаны все доки по FreeBSD. В ipfw есть dummynet.

В общем разница примерно такая же как между tcsh и /bin/sh - оба шеллы, на обоих можно писать, но первый по умолчанию стоит только во FreeBSD и больше нигде, а второй есть всюду и знать его надо, потому что стартовые скрипты все равно на нем...

Нужен конечно. Подбираетелей пароля для юзера root (как ни странно таких полно) гонять :)

Используя CRS112 - нет. Нужен полноценный маршрутизатор.

могу посоветовать man ipset - и этот гигантский список адресов смигрирует в него, а правило сожмется до ровно одного :)