Mikrotik Firewall

В статье показаны настройки стандартного Firewall на MikroTik.

Удаляем все старые правила файрвола

Перед добавлением новых правил в цепочку input или forward необходимо очистить существующие правила, чтобы избежать конфликтов и некорректного поведения трафика. Это делается одной командой:

				
					/ip firewall filter remove [find]

После очистки можно безопасно добавлять новые правила в нужном порядке.

Разрешаем установленные соединения

Сначала разрешаем трафик, который уже был установлен на момент проверки правил (established, related). Это позволяет легитимным сессиям дойти до конца, даже если они были инициированы до очистки правил.

				
					/ip firewall filter add chain=input connection-state=established,related action=accept

Разрешаем ICMP (ping)

Для диагностики сети разрешаем входящие ICMP-пакеты (ping).

				
					/ip firewall filter add chain=input protocol=icmp action=accept

Разрешаем VPN (L2TP, IPsec)

Для работы VPN-клиентов (L2TP/IPsec) необходимо разрешить UDP-порты 500, 4500 и 1701, а также сам протокол IPsec-ESP.

				
					/ip firewall filter add chain=input protocol=udp port=500,4500 action=accept
/ip firewall filter add chain=input protocol=ipsec-esp action=accept
/ip firewall filter add chain=input protocol=udp port=1701 action=accept

Разрешаем SSH (Только для твоего IP)

Для удалённого доступа по SSH разрешаем порт 22 только с указанного IP-адреса (31.132.134.19).

				
					/ip firewall filter add chain=input protocol=tcp port=22 src-address=31.132.134.19 action=accept

Разрешаем WinBox (Только для твоего IP)

Для доступа к веб-интерфейсу по WinBox разрешаем порт 8291 только с указанного IP-адреса (31.132.134.19).

				
					/ip firewall filter add chain=input protocol=tcp port=8291 src-address=31.132.134.19 action=accept

Разрешаем трафик от VPN-клиентов

После того как VPN-соединение установлено, клиент получает адрес из подсети 192.168.100.0/24. Разрешаем весь исходящий трафик от этой подсети в цепочке forward.

				
					/ip firewall filter add chain=forward src-address=192.168.100.0/24 action=accept

Закрываем все остальные входящие соединения

Последним правилом в цепочке input ставим drop — это закрывает все остальные входящие соединения, которые не были разрешены выше.

				
					/ip firewall filter add chain=input action=drop
Поделиться:

Похожие записи