export hide-sensitive0 ;;; разрешаем уже установленные соединения
chain=input action=accept connection-state=established,related,untracked
log=no log-prefix=""
1 ;;; разрешим пинги и прочее icmp
chain=input action=accept protocol=icmp log=no log-prefix=""
2 ;;; Разрешаем запросы к DNS от всех кроме повайдеров - боимся злых хакеров (и правильно делаем)
chain=input action=accept protocol=udp in-interface-list=!ISP dst-port=53 log=no log-prefix=""
3 ;;; Не понял сокрального смысла этого правила - можно стучаться на микротик кому угодно но только с 53 порта? Т.е. Нувот даже на винбокс можно если с 53 на 8291 запрос оформить... я бы убивал...
chain=input action=accept protocol=udp src-port=53 log=no log-prefix=""
4 ;;; Разрешаем подключения WinBox от всех кроме повайдеров - боимся злых хакеров (и правильно делаем)
chain=input action=accept protocol=tcp in-interface-list=!ISP dst-port=8291 log=no log-prefix=""
5 ;;; И вот тут, глядя на следующее правило мы задумываемся, а нужно ли оно вообще. Хотя, учитывая количество срабатываний его можно поднять повыше и упростить жизнь роутеру в плане нагрузки
chain=input action=drop connection-state=invalid log=no log-prefix=""
6 ;;; Дропаем все - это и называется нормально закрытый фаерволл
chain=input action=drop log=no log-prefix="drop"
7 ;;; разрешаем уже установленные соединения
chain=forward action=accept connection-state=established,related,untracked log=no log-prefix=""
8 ;;; смотри правило 6
chain=forward action=drop connection-state=invalid log=no log-prefix=""
9 ;;; вот совсем не понял, вот если бы accept для dstnat, или наоборот drop для !dstnat, а так - это странный заменитель accept для srcnat? но для пакетов от провайдера? У Вас же есть правила dstnat, почему вы им не желаете добра?
chain=forward action=accept connection-nat-state=!dstnat in-interface-list=ISP log=no log-prefix=""
9a ;;; Может хотели разрешить трафик тем, кому прописываете правила snat|dstnat в секции nat? тогда это так
chain=forward action=accept connection-nat-state=srcnat,dstnat
10 ;;; Разрешим избранным ходить на OpenStreetMap заодно сократим количество правил с помощью еще одного адес листа. Кстати а к чему пробелы в имени листа, нет оно конечно можно, но зачем?
chain=forward action=accept protocol=tcp src-address-list=streetwalker dst-address-list=OpenStreepMap dst-port=80,443 log=no log-prefix=""
11 ;;; Судя по счетчику правило не используется
chain=forward action=accept protocol=udp src-address=192.168.0.10 dst-address-list=!Open Streep Map dst-port=80,443 log=no log-prefix=""
13 ;;; Судя по счетчику правило не используется
chain=forward action=accept protocol=udp src-address=192.168.0.5 dst-address-list=!Open Streep Map dst-port=80,443 log=no log-prefix=""
14 ;;; Вот и тут делаем все закрытым, а не полагаемся на волю случая
chain=forward action=drop
не забываем дописать
/ip firewall address-list
add address=192.168.0.5 list=streetwalker
add address=192.168.0.10 list=streetwalker