Home » Mikrotik » Базовая настройка фаервола в Микротик

Базовая настройка фаервола в Микротик

Сегодня хочу поподробнее раскрыть тему защиты роутеров популярной латвийской марки. Речь пойдет о базовой настройке Firewall в Mikrotik для обеспечения безопасности и удобства. Статья на эту тему была написана уже давно, но я решил ее полностью переделать и актуализировать.

Если у вас есть желание научиться работать с роутерами микротик и стать специалистом в этой области, рекомендую по программе, основанной на информации из официального курса MikroTik Certified Network Associate. Курс стоящий, все подробности читайте по ссылке.

Данная статья является частью единого цикла статьей про Mikrotik.

Введение

Долгое время у меня была опубликована статья про простую настройку файрвола на микротик. Там были перечислены базовые правила для ограничения доступа к роутеру, и тем не менее, статья собрала более 200 тыс. просмотров. Потом была вторая версия статьи, в которой тем не менее были неточности. После пройденного обучения, я актуализирую ее в третий раз.

Некоторое время назад я обновил и актуализировал статью про базовую настройку mikrotik. В комментариях многие люди пеняли мне на то, что я совсем не уделил внимание настройке фаервола. Мне не захотелось мешать все в кучу, поэтому я пишу отдельную подробную статью на эту тему, а в настройке роутера оставлю ссылку на нее.

Итак, будем считать, что вы уже настроили роутер примерно так же, как я описал в своей статье. Есть локальная сеть, которая будет выходить в интернет через микротик. И есть сам микротик, который хочется защитить, ограничив доступ для всего лишнего, разрешив только то, что нам нужно.

192.168.88.1 локальный адрес микротика
bridge1-lan название бриджа, в который объединены все интерфейсы для локальной сети
ether1-wan интерфейс для внешнего подключения WAN
192.168.88.0/24 локальная сеть, которую обслуживает микротик

Default firewall в Mikrotik

Если вы используете дефолтную конфигурацию роутера, то она по-умолчанию имеет стандартные правила firewall. Привожу список стандартных правил (rules) с комментариями. Напоминаю, что экспорт правил firewall в mikrotik можно выполнить следующей командой:

>> ip firewall export file=rules

Вот список стандартных правил:

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN

В принципе, по приведенным комментариям примерно понятно, что тут происходит. Дропаются все входящие и транзитные соединения не из локальной сети, разрешен пинг - icmp, разрешен ipsec, разрешены установленные соединения. Все. Ну и настроен NAT через WAN интерфейс.

Во многих случаях данных правил по-умолчанию может быть достаточно обычному пользователю, который просто настроил маршрутизатор дома для выхода в интернет. Берите на вооружение, если вам от маршрутизатора больше ничего не надо.

Если же вы хотите получше разобраться в устройстве firewall и попробовать настроить его самостоятельно, то давайте разбираться дальше вместе.

Firewall и базовая настройка безопасности

Давайте теперь немного порассуждаем, зачем нужен файрвол и какие вопросы он решает. Причем не только в контексте микротика, а вообще. Сейчас каждый доморощенный админ рассказывает, как важно всегда настраивать firewall, иногда даже не понимая, для чего он нужен. Лично я не сторонник создания лишних сущностей, поэтому там где межсетевой экран не нужен, я его не настраиваю.

Сетевой экран позволяет настраивать доступ как к самому шлюзу, так и к ресурсам за ним. Допустим, у вас не запущено никаких сервисов на роутере, и нет никакого доступа извне в локальную сеть. У вас есть какая-то служба на шлюзе, с помощью которой к нему подключаются и управляют (ssh, winbox, http и т.д.), причем ограничение доступа к этой службе настраивать не планируется. Вопрос - зачем вам в таком случае настраивать фаервол? Что он будет ограничивать и какие правила туда писать? В таком случае вам будет достаточно отключить все сервисы на роутере, которые слушают подключения из вне и все.

На самом деле такой кейс очень популярный дома или в мелких организациях, где нет постоянного админа. Просто настроен какой-то роутер, поднят NAT и все. Я понимаю, что не правильно не настраивать ограничения на доступ к управлению, но я рассказываю, как часто бывает. То есть firewall должен решать конкретную задачу по ограничению доступа к ресурсам, а не существовать просто так, чтобы был.

Еще популярны случаи, когда настроена куча правил, а в конце все равно стоит accept для всех подключений. Такие ляпы я сам иногда делал, когда отлаживал где-то работу сервиса и забывал потом вернуть обратно ограничения. Фаервол вроде настроен, но реально его нет. Если отключить - ничего не изменится.

К чему я все это написал? К тому, что прежде чем настраивать firewall, надо определиться с тем, для чего мы это делаем. Какие разрешения или ограничения и для кого мы будем вводить. После этого можно переходить к настройке.

В своем примере я буду настраивать межсетевой экран на микротике, находясь в локальной сети. Вам всегда советую поступать так же. Есть старая админская примета - удаленная настройка файрвола к дальнему пути.

Safe Mode

У Mikrotik есть интересное средство в виде Safe Mode, которое позволяет относительно безопасно настраивать Firewall удаленно. Суть его очень простая. Вы включаете этот режим через соответствующую настройку.

Включение Safe Mode

Далее, если вы некорректно выйдете из этого режима, то все созданные вами настройки будут отменены. Корректным выходом из режима является ручное его отключение через ту же настройку. Таким образом, если во время настройки фаервола у вас пропала связь из-за неверного правила или по какой-то другой причине, Микротик откатит обратно сделанные вами изменения и вы сможете снова подключиться к роутеру.

В терминале этот режим включается комбинацией клавиш CTRL+X. Время ожидания, перед откатом изменений максимум 9 минут (время TCP timeout). Подробнее об этом режиме можно почитать в официальной документации.

Порядок расположения правил в Firewall

Перед началом настройки firewall в mikrotik, отдельно остановлюсь на одном очень важном моменте - порядке расположения правил. Многие, да и я сам ранее, не придавал большого значения этому, так как не сталкивался с высокими нагрузками на сетевое оборудование. Если нагрузки нет, то разницу не замечаешь. Тем не менее, лучше ее понимать.

Пакеты проходят по списку правил по порядку, сверху вниз. Если пакет соответствует какому-то правилу, то он прекращает движение по цепочке. Из этого следует важный вывод - первыми в цепочке должны быть правила, которые охватывают максимальный объем трафика, чтобы он дальше не обрабатывался устройством. Примером такого правила является разрешение пакетов уже установленных (established) или связанных (related) соединений, которые ранее были разрешены каким-то правилом. Повторно проверять по всем правилам их не нужно. Сделаем такое правило для цепочки input - входящие соединения роутера.

Я сначала приведу это правило в виде команды для терминала, который вы можете открыть через winbox. Введите это правило через консоль, а потом уже изучите через визуальное представление. Переходим в соответствующий раздел IP -> Firewall и добавляем правило. Рекомендую всегда ставить комментарии для правил. Так их проще анализировать.

/ip firewall filter
add action=accept chain=input comment="accept establish & related" connection-state=established,related

Пример правила для firewall в Mikrotik

Разрешающее правило

В дефолтном правиле фаервола сюда же добавлены untracked подключения. Я не стал их добавлять, так как обычно не использую данную возможность. Untracked - это пакеты, не отслеживаемые connection tracker. То есть идущие мимо многих функций фаервола. В конце статьи я отдельно расскажу об этой возможности.

Цепочки правил

Первое правило фаервола для цепочки input мы уже написали, но при этом я забыл немного рассказать о существующих цепочках правил в микротиковском фаерволе. Они наследуются из линуксового фаервола iptables. По сути, в mikrotik работает именно он.

  1. Input - пакеты, отправленные на сам роутер. Если вы подключаетесь к нему по ssh или winbox, пакеты попадают как раз в эту цепочку.
  2. Forward - транзитные пакеты, идущие через маршрутизатор. Например, в локальную сеть за ним, или из нее. Все запросы в интернет через маршрутизатор микротик будут попадать в цепочку forward.
  3. Output - пакеты, отправленные с маршрутизатора. Например, микротик синхронизирует время с внешними ntp серверами. Эти запросы будут попадать в цепочку output.

При составлении правил firewall нет смысла пытаться как-то перемешивать правила из разных цепочек. Они все равно будут читаться по порядку в соответствии с той цепочкой, в которую попадает пакет. Поэтому я обычно сначала описываю все правила для input, потом для forward и в конце, в случае необходимости, для output.

Примеры готовых правил

Двигаемся дальше. Одно правило у нас есть, рисуем следующее. Отбрасываем все неверные (Invalid) пакеты. Это чистой воды паразитный трафик. Его пакеты не являются частью ни одного из отслеживаемых соединений. Поэтому чем раньше мы их отбросим, тем меньше они будут нагружать дальше фаервол проверками.

add action=drop chain=input comment="drop invalid" connection-state=invalid

drop invalid connections

drop invalid connections

Дальше не буду приводить скрины, очень хлопотно их под каждое правило делать, да и нет смысла. Просто вставляйте через консоль правила и изучайте их сами в winbox. Разрешаем icmp трафик, чтобы можно было пинговать роутер.

add action=accept chain=input comment="accept ICMP" protocol=icmp

Соответственно, если хотите его заблокировать, то вместо action=accept сделайте drop, или просто не пишите правило, если в конце у вас будет полная блокировка всего, что не разрешено явно.

Дальше я обычно разрешаю подключаться к портам, отвечающим за управление роутером (ssh, winbox, https) с доверенных ip адресов. Подробно этот вопрос я рассмотрю отдельно ниже, поэтому пока это правило пропустим.

Создаем заключительное правило для цепочки input, которое будет блокировать все запросы, пришедшие не из локальной сети. В моем примере у меня локальная сеть подключена к бриджу bridge1-lan. В него входят все порты, подключенные в локалку.

add action=drop chain=input comment="drop all not from lan" in-interface=!bridge1-lan

В этом правиле я использовал отрицание !bridge1-lan, то есть все, что не относится к указанному бриджу.

Запрет любого входящего трафика, кроме локального

На текущий момент мы запретили все запросы из вне к роутеру, кроме пингов. При этом доступ из локальной сети полный. Настроим теперь правила для транзитного трафика цепочки forward. Здесь по аналогии с input первыми идут правила для established, related, invalid пакетов.

add action=accept chain=forward comment="accept established,related" connection-state=established,related
add action=drop chain=forward comment="drop invalid" connection-state=invalid

Теперь запретим все запросы из внешней сети, связь с которой через интерфейс ether1-wan к локальной сети.

add action=drop chain=forward comment="drop all from WAN to LAN" connection-nat-state=!dstnat connection-state=new in-interface=ether1-wan

Что такое dstnat мы рассмотрим чуть позже, когда будем разбираться с NAT. На этом список базовых правил закончен. Дальше немного пояснений на тему того, что у нас получилось.

Важное замечание, о котором я забыл упомянуть. По умолчанию, в Mikrotik Firewall нормально открытый. Это значит, все, что не запрещено явно, разрешено.

На текущий момент у нас запрещены все входящие соединения, кроме пинга. При этом разрешены все запросы из локальной сети во внешнюю, так как мы не указали никаких блокирующих правил для этого, а значит, все открыто. Покажу для примера, что нужно сделать, чтобы запретить все запросы из локалки и разрешить, к примеру, только http и https трафик.

Для этого мы сначала создаем разрешающее правило для 80 и 443 портов. Если используете внешний DNS сервер для запросов из сети, не забудьте разрешить еще и 53 порт UDP, иначе dns запросы не будут проходить и страницы загружаться не будут, даже если разрешить http трафик.

add action=accept chain=forward comment="accept http & https from LAN" dst-port=80,443 in-interface=bridge1-lan out-interface=ether1-wan protocol=tcp
add action=accept chain=forward comment="accept dns from lan" dst-port=53 in-interface=bridge1-lan out-interface=ether1-wan protocol=udp

Разрешил http и dns трафик, так как в моем тестовом окружении используется внешний dns сервер. Теперь блокируем все остальные запросы по цепочке forward из локальной сети.

add action=drop chain=forward comment="drop all from LAN to WAN" in-interface=bridge1-lan out-interface=ether1-wan

Когда я писал статью, завис минут на 10 и не мог понять, почему не работает разрешающее правило для http. Я его несколько раз проверил, все верно было. Тут и ошибиться негде, но страницы из интернета не грузились в браузере. Чтобы разобраться, я просто включил логирование для последнего запрещающего правила.

Логирование заблокированных запросов

После того, как сделал это, увидел, что у меня блокируется dns трафик по 53-му порту. После этого сделал для него разрешение и все заработало как надо.

Лог заблокированных пакетов

Забыл предупредить. Если вы с нуля настраиваете фаервол в микротик, то доступа в интернет из локальной сети у вас еще нет. Для этого нужно настроить NAT, чем мы займемся в следующем разделе. Так что пока отложите тестирование правил и вернитесь к ним, когда настроите NAT.

Когда у вас что-то не получается, смело включайте логирование запрещающих правил и вы быстро поймете в чем проблема. Это универсальный совет для настройки любого фаервола. Только не забудьте в конце отладки отключить логирование. Иногда я это забывал сделать. Если использовалось какое-то хранилище для логов, оно быстро забивалось, так как в блокирующие правила попадает очень много запросов.

Итак, мы настроили базовый нормально закрытый firewall в микротике. У нас запрещено все, что не разрешено явно, в том числе и для трафика из локальной сети. Скажу честно, я редко так делал, потому что хлопотно постоянно что-то открывать из локальной сети (skype, teamviewer и т.д.). В общем случае, если нет повышенных требований безопасности, в этом нет необходимости. Блокирование не разрешенного трафика можно включать в случае необходимости.

Итоговый список правил, которые получились:

/ip firewall filter
add action=accept chain=input comment="accept establish & related" connection-state=established,related
add action=drop chain=input comment="drop invalid" connection-state=invalid
add action=accept chain=input comment="accept ICMP" protocol=icmp
add action=drop chain=input comment="drop all not from lan" in-interface=!bridge1-lan
add action=accept chain=forward comment="accept established,related" connection-state=established,related
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=forward comment="drop all from WAN to LAN" connection-nat-state=!dstnat connection-state=new in-interface=ether1-wan
add action=accept chain=forward comment="accept http & https from LAN" dst-port=80,443 in-interface=bridge1-lan out-interface=ether1-wan protocol=tcp
add action=accept chain=forward comment="accept dns from LAN" dst-port=53 in-interface=bridge1-lan out-interface=ether1-wan protocol=udp
add action=drop chain=forward comment="drop all from LAN to WAN" in-interface=bridge1-lan out-interface=ether1-wan

Список всех правил в Mikrotik

Пока у нас еще не настроен выход в интернет для локальной сети. Сделаем это далее, настроив NAT.

Настройка NAT в микротик

С натом в микротике есть один важный нюанс, о котором я не знал, пока не прочитал презентацию одного из сотрудников, которую я в итоге перевел - My «holy war» against masquerade. Я всегда и везде использовал masquerade для настройки NAT. К тому же это действие предлагается и в дефолтной конфигурации. По своей сути masquerade - частный случай src-nat, который следует использовать в том случае, если у вас не постоянный ip адрес на внешнем интерфейсе. Причем, в некоторых случаях с masquerade могут быть проблемы. Какие именно - описаны в презентации.

Таким образом, если у вас постоянный ip адрес, то для NAT используйте src-nat, если динамический - masquerade. Разница в настройках минимальна.

Для того, чтобы пользователи локальной сети, которую обслуживает роутер на микротике, смогли получить доступ в интернет, настроим на mikrotik NAT. Для этого идем в раздел IP -> Firewall, вкладка NAT и добавляем простое правило.

/ip firewall nat
add action=src-nat chain=srcnat out-interface=ether1-wan to-addresses=10.20.1.20

Настройка NAT в Микротик

Настройка src-nat

В данном случае 10.20.1.20 ip адрес на wan интерфейсе. Если не постоянный ip адрес на wan интерфейсе, то делаем с masquerade.

add action=masquerade chain=srcnat out-interface=ether1-wan

Включение masquerade

Все, NAT настроен, пользователи могут выходить в интернет. Теперь предлагаю проверить работу firewall, который мы настроили. Сбросьте все счетчики в правилах.

Проверка работы фаервола

Теперь сгенерируйте как можно больше трафика и посмотрите, через какие правила он будет идти. Можно воспользоваться сервисом от Яндекса по измерению скорости интернета - https://yandex.ru/internet/.

Статистика обработанных пакетов

Большая часть трафика прошла по правилу с established, related соединениям, минимально нагружая роутер своей обработкой в контексте именно фаервола. Особенно это будет актуально, если у вас много правил в firewall. Важно их расположить в правильном порядке.

Проброс портов

Покажу на простом примере, как при настроенном NAT и включенном фаерволе выполнить проброс порта в mikrotik для доступа к службе в локальной сети. Пробросить порт можно в той же вкладке NAT в настройках Firewall.

Для примера выполним проброс порта rdp из интернета через микротик. Извне будет открыт порт 41221, а проброс будет идти на локальный адрес 192.168.88.200 и порт 3389.

add action=dst-nat chain=dstnat dst-port=41221 in-interface=ether1-wan protocol=tcp to-addresses=192.168.88.200 to-ports=3389

Проброс порта в Mikrotik

Настройка dst-nat

Если у вас остальной фаревол микротика настроен по поему описанию выше, то проброс порта уже заработает и больше ничего делать не надо. Так как у нас правило на блокировку запросов из вне в локальную сеть сделано с учетом исключения цепочки dstnat, все будет работать сразу. Напоминаю это правило.

add action=drop chain=forward comment="drop all from WAN to LAN" connection-nat-state=!dstnat connection-state=new in-interface=ether1-wan

Если вы настраивали firewall ранее по каким-то другим материалам, там могло быть другое правило, без учета dstnat, например вот так:

add action=drop chain=forward comment="drop WAN -> LAN" in-interface=ether1-wan out-interface=bridge1-lan

К такому правилу надо обязательно выше добавить разрешающее, примерно вот так:

add action=accept chain=forward comment="accept WAN -> LAN RDP" dst-address=192.168.88.200 dst-port=3389 in-interface=ether1-wan protocol=tcp

Я настоятельно не рекомендую открывать доступ к rdp порту для всего интернета. Лично имел печальный опыт в такой ситуации. Обязательно настройте ограничение доступа по ip к этому порту, если такое возможно. Если невозможно, то не пробрасывайте порт, а сделайте доступ по vpn. Ограничение по ip делается просто. Добавляем еще один параметр Src. Address в правило проброса порта.

Ограничение доступа по ip к проброшенному порту

Если используется список ip адресов, который будет меняться, проще сразу в правиле проброса указать на список, а потом править уже сам список. Для этого его надо создать. Создать список ip можно на вкладке Address List. Добавим список:

Создание списка ip в микротик

Возвращаемся в правило проброса порта, переходим на вкладку Advanced и добавляем указанный список в Src. Adress List

Ограничение доступа по списку ip

Теперь для изменения списка доступа к проброшенному порту не надо трогать само правило. Достаточно отредактировать список.

На этом по настройке NAT и пробросу портов на Mikrotik все. Надеюсь, у меня получилось подробно и понятно объяснить основные моменты и некоторые нюансы.

Защита подключения через winbox

Расскажу отдельно о том, как защитить подключение по winbox с помощью firewall. В микротиках время от времени находят критические уязвимости. Единственным способом надежно от них защититься - ограничить доступ к winbox с помощью фаервола. После этого можно спать спокойно и делать обновления системы не экстренно, после публикации уязвимости, а планово.

В рассмотренном ранее списке правил для фаервола заблокированы все внешние подключения полностью. Это самый безопасный вариант настроек. Иногда нужен доступ к удаленному управлению. Если невозможно создать статический список ip адресов, для которых будет разрешено подключение, то выходом в этом случае настроить vpn сервер на микротике и подключаться через vpn. Это хоть и менее безопасно прямого ограничения на уровне списка ip адресов, но все равно значительно лучше, чем оставлять доступ через winbox без ограничения через интернет.

Тема настройки vpn в mikrotik выходит за рамки данной статьи. Читайте отдельный материла на этот счет. Сделаем простое ограничение доступа к управлению на уровне ip. Для начала создадим список IP адресов, которым будет разрешено подключаться удаленно к winbox.

Защита winbox

Добавляем правило в Firewall. Оно должно быть выше правила, где блокируются все входящие соединения.

add action=accept chain=input comment="accept management for white-list" dst-port=8291 in-interface=ether1-wan protocol=tcp src-address-list=winbox_remote

Ограничение доступа через winbox

В вкладке Advanced указываем список:

Список ip для подключения по winbox

В разделе action ставим accept. Так мы обезопасили удаленный доступ через winbox. Считаю это самым простым и безопасным способом защиты микротика. Если есть возможность ограничений по ip, всегда используйте. Это универсальный способ, годный для любого случая и системы, не только в отношении Mikrotik.

В современном мире ИТ постоянно находят уязвимости. Невозможно всегда оперативно ставить обновления. Зачастую, эти обновления могут либо нарушить работу системы, либо содержать другие уязвимости. Только ограничение доступа к службам и системам позволяет более ли менее надежно защититься и спать спокойно, не торопясь обновляться со всех ног при обнаружении очередной критической уязвимости.

Итоговый список правил после всех наших настроек в этой статье должен получиться примерно таким.

Полный список правил firewall

Fasttrack

В дефолтном правиле firewall mikrotik включен режим Fasttrack. Я в своих правилах его обычно не использую. Попробую своими словами объяснить, что это такое. Я долго пытался вникнуть в суть этой технологии, когда разбирался.

Fasttrack - проприетарная технология Mikrotik, позволяющая маркировать ip пакеты для более быстрого прохождения пакетного фильтра. Включить режим маркировки пакетов fasttrack очень просто. Достаточно добавить в цепочку forward первым следующее правило:

/ip firewall filter add action=fasttrack-connection chain=forward comment=fasttrack connection-state=established,related

Дальше остаются все те же самые правила, что я описал ранее в статье.

В этом режиме пакеты перемещаются по упрощенному маршруту в пакетном фильтре, поэтому не работают следующие технологии обработки пакетов:

  • firewall filter;
  • mangle rules;
  • queues с parrent=global;
  • IP accounting;
  • IPSec;
  • hotspot universal client;
  • VRF;

За счет того, что маршрут обработки пакетов более короткий, он меньше нагружает процессор в ущерб функционалу. Если вы ничего из перечисленного не используете, то можно пользоваться fasttrack. Однако, чаще всего нужны queues, поэтому от него приходится отказываться. Если же у вас не используются очереди и какие-то особенные правила в firewall, то можете использовать технологию.

Чтобы убедиться, что режим fasttrack работает, можно посмотреть раздел Mangle. Счетчик с маркированными пакетами должен расти.

Fasttrack mangle

И в завершении по fasttrack важное замечание - он не работает в CHR. Я с этим столкнулся лично, когда тестировал. У меня тестовое окружение настроено на CHR и там fasttrack не работал. Причем его можно включить, но все счетчики пакетов будут нулевыми. Реально технология не работает.

Как на микротике отключить файрвол

Для того, чтобы полностью отключить Firewall на микротике, достаточно просто отключить или удалить все правила в списке. По умолчанию, в mikrotik используются разрешающие правила. Все, что не запрещено - разрешено, то есть firewall нормально открытый. Если у вас нет ни одного активного правила, можно считать, что файрвол отключен, так как он пропускает все соединения без ограничений.

Вот пример отключенного фаервола на микротике :)

Отключение firewall на mikrotik

Итоговый список правил, настроенный по этой статье, получился вот такой:

/ip firewall address-list
add address=10.20.1.1 list=winbox_remote
/ip firewall filter
add action=accept chain=input comment="accept establish & related" connection-state=established,related
add action=drop chain=input comment="drop invalid" connection-state=invalid
add action=accept chain=input comment="accept ICMP" protocol=icmp
add action=accept chain=input comment="accept management for white-list" dst-port=8291 in-interface=ether1-wan protocol=tcp src-address-list=winbox_remote
add action=drop chain=input comment="drop all not from lan" in-interface=!bridge1-lan
add action=accept chain=forward comment="accept established,related" connection-state=established,related
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=forward comment="drop all from WAN to LAN" connection-nat-state=!dstnat connection-state=new in-interface=ether1-wan
add action=accept chain=forward comment="accept http & https from LAN" dst-port=80,443 in-interface=bridge1-lan out-interface=ether1-wan protocol=tcp
add action=accept chain=forward comment="accept dns from lan" dst-port=53 in-interface=bridge1-lan out-interface=ether1-wan protocol=udp
add action=drop chain=forward comment="drop all from LAN to WAN" in-interface=bridge1-lan out-interface=ether1-wan
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1-wan
add action=dst-nat chain=dstnat dst-port=41221 in-interface=ether1-wan protocol=tcp to-addresses=192.168.88.200 to-ports=3389

Заключение

Не понравилась статья и хочешь научить меня администрировать? Пожалуйста, я люблю учиться. Комментарии в твоем распоряжении. Расскажи, как сделать правильно!

На этом все по базовой настройке firewall на mikrotik. Постарался показать максимально подробно базовый набор правил фаервола для обеспечения безопасности и защиты локальной сети и самого роутера.

Мой список правил не сильно отличается от дефолтного. Привел его последовательно по правилу, чтобы просто объяснить логику, как нужно рассуждать и действовать при добавлении правил. В качестве самостоятельной работы предлагаю добавить правило, разрешающее пинги из локальной сети в интернет. Если самостоятельно не получилось сделать, напишите в комментарии, я приведу рабочий пример.

Тема эта обширная, наверняка у кого-то есть замечания и свои советы по предложенной настройке. Тут нет универсальных правил на все случаи жизни. Firewall в микротике основан на линуксовых iptalbes, а  это безграничное поле для маневра.

Напоминаю, что данная статья является частью единого цикла статьей про Mikrotik.

Онлайн курсы по Mikrotik

Если у вас есть желание научиться работать с роутерами микротик и стать специалистом в этой области, рекомендую пройти курсы по программе, основанной на информации из официального курса MikroTik Certified Network Associate. Помимо официальной программы, в курсах будут лабораторные работы, в которых вы на практике сможете проверить и закрепить полученные знания. Все подробности на сайте . Стоимость обучения весьма демократична, хорошая возможность получить новые знания в актуальной на сегодняшний день предметной области. Особенности курсов:
  • Знания, ориентированные на практику;
  • Реальные ситуации и задачи;
  • Лучшее из международных программ.

Помогла статья? Подписывайся на telegram канал автора

Анонсы всех статей, плюс много другой полезной и интересной информации, которая не попадает на сайт.

Автор Zerox

Zerox
Владимир, системный администратор, автор сайта. Люблю настраивать сервера, изучать что-то новое, делиться знаниями, писать интересные и полезные статьи. Открыт к диалогу и сотрудничеству.

147 комментариев

  1. Аватар

    Здравствуйте. Хочу поднять прокси на микротике. Цель закрыть интернет всем приложениям кроме явно разрешенных через SOCkS5. Опишите если можно логику работы взаимодействия socks firewall и nat (кто кого слушает и кому что разрешает).

    • Zerox

      Я никогда не настраивал socks5 на микротике, так что не подскажу.

    • Zerox

      В общем случае, достаточно просто разрешить подключаться на порт, где работает socks5.

      ip firewall filter add chain=input protocol=tcp dst-port=1080 action=accept comment="SOCKS5"

  2. Аватар
    Дмитрий

    Здравствуйте. Как можно на микротике прописать отмену подмены входящего ip адреса из интернета? Когда кто-то коннектится к серверу за микротиком, то сервер показывает локальный адрес микротика, а не тот внешний.

  3. Аватар
    Валерий

    Все супер! Давайте теперь расширенную настройку))
    Кстати, в System - users в свойствах пользователя вы не прописываете ip с которых можно подключаться?

    • Zerox

      Ограничение для подключения по winbox я обычно настраиваю в отдельном списке в firewall. Так удобнее, когда все в одном месте находится.

  4. Аватар

    Правило add action=drop chain=forward comment="accept dns from LAN" dst-port=53 in-interface=bridge1-lan out-interface=ether1-wan protocol=udp должно блокировать запросы днс внутри сети, но оно не работает, в вашей же статье вы сами указали что нужно включить правило чтоб страницы открывались, я хочу блокировать!

    /ip firewall filter
    add action=accept chain=input comment="accept establish & related" connection-state=established,related
    add action=drop chain=input comment="drop invalid" connection-state=invalid
    add action=accept chain=input comment="accept ICMP" protocol=icmp
    add action=drop chain=input comment="drop all not from lan" in-interface=!bridge1-lan
    add action=accept chain=forward comment="accept established,related" connection-state=established,related
    add action=drop chain=forward comment="drop invalid" connection-state=invalid
    add action=drop chain=forward comment="drop all from WAN to LAN" connection-nat-state=!dstnat connection-state=new in-interface=ether1-wan
    add action=accept chain=forward comment="accept http & https from LAN" dst-port=80,443 in-interface=bridge1-lan out-interface=ether1-wan protocol=tcp
    add action=drop chain=forward comment="accept dns from LAN" dst-port=53 in-interface=bridge1-lan out-interface=ether1-wan protocol=udp
    add action=drop chain=forward comment="drop all from LAN to WAN" in-interface=bridge1-lan out-interface=ether1-wan

  5. Аватар

    Добрый день.
    Если можете, подскажите пожалуйста.
    Так как перепробовал разные настройки и не могу понять где затык.

    В наличии имеется Windows server 2012 на котором поднят VPN L2tp+IPsec.
    К серверу подключаются два Microtik в режиме клиента по L2tp+IPsec.
    Mikrotik 1 — Lan 192.168.6.1(Поднят DHCP для клиентов), VPN L2tp 192.168.200.6.
    Mikrotik 2 — Lan 192.168.5.1(Поднят DHCP для клиентов), VPN L2tp 192.168.200.5.
    На двух Mikrotik я настроил Route list что в сеть 192.168.200.0 ходить с L2tp.
    К Mikrotik 1 подключен ноутбук с IP 192.168.6.2 который может делать ping
    к Mikrotik 2 VPN L2tp 192.168.200.5 но делать ping в Lan 192.168.5.0 я не могу.
    Я добавлял в Route list Mikrotik 1 маршрут к Lan 192.168.5.0 через VPN и на оборот на другом клиенте но ничего не выходит, доступа нет.
    Карта сети, для наглядности.
    https://cdn1.savepice.ru/uploads/2020/7/3/b48a1390480ca2689181018f031b47d1-full.jpg

  6. Аватар

    Добрый день.
    Если можете, подскажите пожалуйста.
    Так как перепробовал разные настройки и не могу понять где затык.

    Добрый день. Прошу оказать содействие в настройки маршрутизации.
    В наличии имеется Windows server 2012 на котором поднят VPN L2tp+IPsec.
    К серверу подключаются два Microtik в режиме клиента по L2tp+IPsec.
    Mikrotik 1 - Lan 192.168.6.1(Поднят DHCP для клиентов), VPN L2tp 192.168.200.6.
    Mikrotik 2 - Lan 192.168.5.1(Поднят DHCP для клиентов), VPN L2tp 192.168.200.5.
    На двух Mikrotik я настроил Route list что в сеть 192.168.200.0 ходить с L2tp.
    К Mikrotik 1 подключен ноутбук с IP 192.168.6.2 который может делать ping
    к Mikrotik 2 VPN L2tp 192.168.200.5 но делать ping в Lan 192.168.5.0 я не могу.
    Я добавлял в Route list Mikrotik 1 маршрут к Lan 192.168.5.0 через VPN и на оборот на другом клиенте но ничего не выходит, доступа нет.

  7. Аватар
    Дмитрий

    Здравствуйте!
    Настроил микротик по вашему мануалу, затем настроил файервол по этой статье.
    Но не работает SNTP, роутер не синхронизирует время.
    Вот скрин настройки SNTP https://i.imgur.com/8c8cFZa.png

    • Zerox

      Попробуйте вместо ip адресов указать dns имена 0.europe.pool.ntp.org и 1.europe.pool.ntp.org. Раньше это нельзя было сделать, указывались только ip адреса. А сейчас можно и dns имена.

      • Аватар
        Дмитрий

        Спасибо, все заработало.
        Возник следующий вопрос, как поднять сервер ntp?
        В System нет такого пункта.

        • Zerox

          Насколько мне известно, в микротиках нет такого функционала.

        • Аватар
          Дмитрий

          Здравствуйте. Как можно на микротике прописать отмену подмены входящего ip адреса из интернета? Когда кто-то коннектится к серверу за микротиком, то сервер показывает локальный адрес микротика, а не тот внешний.

          • Zerox

            Куда именно коннектится кто-то за микротиком? Что это за сервер? Как осуществлен доступ через микротик к этому серверу?

            • Аватар
              Дмитрий

              У микротика внутренний ip 192.168.1.1. К нему подключён сервер 192.168.1.10, который работает на 11110 порту. Этот же порт проброшен в мир. Когда кто-то из интернета коннектится к серверу, то отражается в логах всё время ip микротика 192.168.1.1, а не внешний адрес того человека

              • Zerox

                Это очень странно. При пробросе порта сохраняется адрес отправителя в заголовках, если я ничего не путаю. Подмены быть не должно. У вас точно обычный проброс настроен и все?

                • Аватар
                  Дмитрий

                  Да. Другого больше же не дано)

                • Аватар
                  Дмитрий

                  Сейчас проверил. Проброс настроен обычный. Но вот интернет настроен на ДВА провайдера. В роутер заходят два кабеля от провайдеров. Может, в этом причина? Получается, роутер обрабатывает эти две линии, принимает сам решение о том, какой интернет задействовать, поэтому и пишет, что как-будто это он выдал интернет? Элементарно, когда к убунте даже подключаешься по ссш, то в самом начале она пишет "Last login from 192.168.1.1". Даже когда с мобильного интернета.

  8. Аватар
    Сергей

    Здравствуйте. Н могли бы подсказать куда копать. Что-то в толк ни как не возьму. Решил ради эксперимента отделить свой кабинет от локальной сети. Настойки по умолчанию, т.е. сеть 88.0/24. В итоге как выяснилось через несколько дней когда потребовались программы KM-NET VIEVER отслеживает мфу Kyocera в сети. Все принтеры показывает Отключено. Программа работает по порту 9100, какие правила только не пробовал. И проброс портов, в общем все что в интернете попадалось эксперементировал. На днях еще узнал, что программа RaiDar для сетевого хранилища Netgear тоже не работает((. Делал правила разрешающие из сети 6.0/24 идти в 88.0/24 и второе правило наоборот. Ни как((( Натолкните на правильный путь если возможно. Спасибо.

  9. Аватар
    Сергей

    Отличная статья, намного лучше чем у технотрейда! спасибо за разъяснения по правилам.

  10. Аватар
    Геннадий

    add action=drop chain=input comment="drop all not from lan" in-interface=!bridge1-lan мешает CAPsMAN-у разворачивать точки,
    как создать для него отдельное правило? Спасибо

    • Zerox

      Я сейчас точно не помню, что надо открыть для работы Capsman. Но вы можете легко это сами узнать. Включите логирование этого правила блокировки, запустите capsman и посмотрите, какие заблокированные пакеты будут в логе. На основе этих данных создайте разрешающее правило.

  11. Аватар

    Вот это правило add action=drop chain=input comment="drop all not from lan" in-interface=!bridge1-lan блокирует доступ к Mikrotik из Winbox в локальной сети. Возможно зайти только по MAC! А хотелось бы по IP, Подскажите что не так в правиле?

    • Zerox

      Тут блокируются все входящие запросы, пришедшие не из бриджа bridge1-lan. Раз вас не пускает, значит интерфейс, подключенный к локальной сети, не входит в bridge1-lan. Возможно забыли бридж сделать или назвали его по-другому.

    • Аватар
      Дмитрий

      Здравствуйте. Как можно на микротике прописать отмену подмены входящего ip адреса из интернета? Когда кто-то коннектится к серверу за микротиком, то сервер показывает локальный адрес микротика, а не тот внешний.

  12. Аватар

    Спасибо за статью, очень подробно!

  13. Аватар

    Добрый ночи/день/вечер!
    Был бы признателен. Если сможете мне немного объяснить или направить на путь истинный.
    Стоит в которе микрот.
    Встала задача разнести локалку по отдельным подсетям.
    Что было сделано:
    1. На одном интерфесе созданы VLANы к примеру 10 бух, 11 продажники, 12 сервис, 13 сервера.
    1.2 Создал для каждого VLAN свой Bridge
    2. Созданы для каждого VLANа свой ip диапозон. К примеру 10.0/24, 11.0/24, 12.0/24, 13.0/24
    3. Создал DHCP для каждого VLANа, с пулом адресов.
    4. ПРописал в нате разрешение на выход в инет для определенных сетей.
    Сообственно вопрос!
    Как мне закрыть доступ к примеру сервису доступ к серверам?
    При этом доступ с серверов что бы был к сервису.
    Что пробовал:
    В ip -Routes-Rules добавлял правило 12.0/24 - 13.0/24 unreachble - доступ закрывался. НО при этом из 13 сети я не смог подключиться ни к одному Ip из 12.
    ПРобовал через Firewall 2 разными способами.
    1. Создал правило forward из 12 в 13 drop Результат тот же что и при ip-routes
    2. Создал 2 правила разрешаюше из 13 в 12 и запрещаюе из 12 в 13.
    Результат доступ закрываеться прекрассно. Но проблема остается я не вижу из 13 сети 12....
    Мозг сломал. Понимаю, что где-то косяк, причем на ровном месте, но где?....

    • Zerox

      Я не понял вашу идею. Вы закрываете доступ от сервиса к серверам, а потом с серверов подключаетесь к сервису. А как сервис ответит серверам, если доступ оттуда закрыт? Мне кажется, вы не в том направлении копаете. Для работы соединения, связь должна быть в обе стороны. Пакеты ходят в обоих направлениях.

      • Аватар

        Согласен. Возможно. Мне необходмо, что бы 12 подсеть не видела 13 вообще. Но при этом я смог бы из 13 к 12 подключиться.

        • Zerox

          В общем случае это невозможно. Как я уже говорил, связь идет в обоих направлениях. Единственное, что можно попробовать, это разрешить доступ из 13 в 12 весь, а из 12 в 13 только установленные соединения. Возможно, этого вам будет достаточно, но я не уверен, что все сервисы в таком режиме будут работать нормально. Как я уже сказал, связь нужна двухсторонняя, так как движение пакетов идет в обе стороны. Наверняка этот вопрос можно решить каким-то более сложным уровнем, но вот так сходу я не знаю и не припоминаю, чтобы где-то видел такие решения.

          • Аватар

            Добрый день!
            Решил вопрос.
            Прописал в ip-route-rules правила с 2 подсетями анричибл и создал правила лукуп и с название таблиц.
            Далее в файрволе создал правило дроп с протоколом tcp исключающим порт 3389 и указанием интерфейса. В принципе чего я и добивался.
            Согласен что возможно часть ресурсов не будут работать. Но мне на той подсети локальные ресурсы и не нужны)

  14. Аватар

    Не работает Outlook при данных настройках.
    Не получает письма и не отправляет.

    Задача - отправка' сообщила об ошибке (0x80042109) : 'Невозможно подключиться к серверу исходящей почты (SMTP). Если вы получите это сообщение снова, обратитесь к администратору сервера или поставщику услуг Интернета.'

    • Zerox

      Если вы разрешили для локальной сети выход в интернет только по портам 80 и 443, как в примере, то да, не будет работать почта. Откройте порты для почты. Если не знаете как, то лучше отключите ограничение трафика из локальной сети. В статье все это описано.

  15. Аватар

    Приветствую!
    На устройстве выдача адресов настроена на 192.168.88.0/24
    Оставил возможность подключения по web и ssh
    ip service pr
    Flags: X - disabled, I - invalid
    # NAME PORT ADDRESS CERTIFICATE
    0 X telnet 23
    1 X ftp 21
    2 www 80
    3 ssh 1582 192.168.88.0/24
    4 X www-ssl 443 none
    5 X api 8728
    6 X winbox 40457
    7 X api-ssl 8729 none

    Но при настройке файерволла допустил ошибку и указал не ту 162ую подсеть

    ip firewall ad
    /ip firewall address-list> add address=192.162.1.0/24 list=allow-ip
    /ip firewall address-list> add address=192.162.88.10/32 list=allow-ip
    /ip firewall address-list> ip firewall filter
    bad command name ip (line 1 column 1)
    /ip firewall address-list> ..
    /ip firewall> filter
    /ip firewall filter> add action=accept chain=input comm="allow address list" scr-address-list=allow-ip
    expected end of command (line 1 column 57)
    [onelove@MikroTik] /ip firewall filter> add action=accept chain=input comm="allow address list" src-address-list=allow-ip
    [onelove@MikroTik] /ip firewall filter> pr
    Flags: X - disabled, I - invalid, D - dynamic
    0 ;;; allow address list chain=input action=accept src-address-list=allow-ip log=no log-prefix=""
    /ip firewall filter> add action=add-src-to-address-list address-list-timeout=1h chain=input packet-size=1988 protocol=icmp
    /ip firewall filter> add action=drop chain=input

    Клиенты получают адреса, из 192.168.88.0/24, выход в интернет доступен.

    А вот подключиться к микротику я никак не могу.

    Вопрос, есть ли возможность подключиться к админке или остаётся вариант сброса роутера?

    Спасибо!

    • Zerox

      Подключитесь по маку к нему, если есть возможность оказаться с ним в одном широковещательном домене (условно в одной локальной сети через общий свитч).

      • Аватар

        Гениально!

        Сначала подумал сделать виртуальный свитч и с него раздать адреса 192.162.1.0/24
        Но потом решил раскрутить тему про подключение по маку и (о, чудо!) у микротика есть свой сервис мак-телнет.
        Немного поискав нашёл решение на github. Для него требовались linix/unix системы, что в моём случае трудно исполнимо. Ещё немного поискав нашёл клиент для windows - https://mikrotik.com/download/neighbour.zip
        (В итоге с него всё и исправил)

        Всё оказалось проще пареной репы - подключение по мак-адресу можно выполнить и из winbox несмотря на то, что сервис winbox отключён на целевом устройстве. Да ещё с клиента, доступ которому к админке закрыт файерволлом.

        Zerox, огромная благодарность!

        PS
        Теперь буду рассматривать мак-телнет (Tools->Mac Server) как ещё один пункт безопасности.

        Всем добра!

  16. Аватар

    Zerox, большое вам человеческое спасибо за все ваши труды! Очень помогает, особенно сейчас, когда с вирусом пришло время покопаться в этих Микротиках. :)

    У меня возникла одна маленькая проблемка и если вы сможете ей уделить минутку - я буду очень признателен.
    Вот это вот правило
    >add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN

    блокирует работу CAPSMAN который прямо на этом раутере (тот, который по ethernet подвключен прекрасно работает). Если выше добавить правило которое accept c 192.168.2.1 на 192.168.2.1 (адрес самого раутера), то всё начинает работать правильно. Также можно в проблемном правиле поменять !LAN на WAN и тоже всё заработает. Но оба эти решения как-то не выглядят правильно. Как бы это покрасивее сделать?

    Спасибо.

    • Zerox

      Добавьте в список LAN интерфейс Capsman да и все. Либо сделайте отдельное разрешающее правило для него. Не очень понял, в чем конкретно проблема.

  17. Аватар
    Пользователь

    Правильное ли я понимаю, что в "В данном случае 10.20.1.20 ip адрес на wan интерфейсе. Если не постоянный ip адрес на wan интерфейсе, то делаем с masquerade." ip 10.20.1.20 это постоянный ip который мы имеем, и к примеру если он у на 77.88.8.1 то его и указывать?

    • Zerox

      Да, все верно.

      • Аватар
        Пользователь

        Спасибо! Поменял с макарадинга на ваш вариант с srcnat. Владимир, а вы не планируете написать статью на тему queue tree в цикле ваших статей про mikrotik? Было бы очень полезно заодно и их настроить.

        • Zerox

          Планирую рассказать про очереди. Но пока не знаю когда. На повестке дня обновление статьи по capsman.

  18. Аватар
    Аноним

    Добрый день. Не могу понять зачем добавлять правило drop invalid, если следующее правило режет все оставшееся?
    "add action=drop chain=input comment="drop all not from lan" in-interface=!bridge1-lan"

    • Zerox

      В данном случае можно было и не делать. Но в общем случае рекомендуется это делать всегда, чтобы отрезать паразитный трафик сразу же, чтобы он не обрабатывался дальше фаерволом. В реальной конфигурации скорее всего правил на input и forward будет побольше перед финальной блокировкой всего и вся.

    • Аватар
      Никита

      Делать отдельные правила в фаерволе для каждого типа трафика (к прим Invalid) помогает мониторить что происходит в сети, посредством просмотра счетчиков

  19. Аватар

    Спасибо за материал, может уже задавали вопрос. Больше академического интереса: а можно ли в микротике провернуть такой трюк, типа редирект или проброс между портами маршрутизатора, например, из внешней сети на порт 56080, переправлять на 80 порт его локального адреса? Притом с внешней стороны порт заблокирован, а со стороны локальной сети открыт.
    PS. С наскока попробовал – не получилось, даже через цепочку форвард на ip маршрутизатора в локальной сети, все равно пакет блокируется, вероятно это считается внешним соединением.

    • Аватар

      Попадает в правило дропающие все внешние запросы на 80 порт.

    • Zerox

      Можно, в цепочке dst-nat с помощью action=redirect. Правда это для варианта, когда запрос идет из локальной сети. Так можно, к примеру, весь dns трафик завернуть на внутренний dns микротика. С внешней сети не пробовал таких трюков, но думаю, тоже можно. Надо тестировать.

      • Аватар

        Доброго дня!

        Настроил в NAT такой DNS-прокси чтобы все запросы обрабатывались DNS-сервером маршрутизатора, но попал в засаду, если не указывать конкретно интерфейс (в моём случае интерфейс-лист) то отсутствует интернет на гостевой сети CAPsMAN (на отдельном бридже, со своим DHCP, адреса DNS даны от Яндекса), если же в правиле указать конкретно интерфейс-лист локальной сети то гостевая сеть работает как надо. Очень жду обновлённой статьи по CAPsMAN!!!!

        • Zerox

          Вот как раз открыл редактор, чтобы начать переделывать статью по capsman. Появилось время и возможность. С учетом, что на ее переработку надо часов 10, не знаю, когда закончу это дело.

          • Аватар

            Если возможно поподробнее про гостевую сеть, старые мануалы себя изжили, либо отключать правило файервол о дропе всего что не из локалки в input, либо извращаться как я в прерутинге. У меня DNS-прокси и NTP-прокси заворачивают весь трафик по 53 и 123 портам на соответствующие серверы в тике. Спасибо Вам огромное что доходчиво объясняете.

            • Zerox

              Так в чем конкретно проблема? Что там в Capsman такого особенного? Заворачивайте только тот трафик, что нужен, соответственно выбирая интерфейсы или подсети, на которые эти правила должны действовать.

              • Аватар

                Ну если в кратце, есть два бриджа, lan и guest, они указаны в двух разных datapath, созданы две конфигурации, в провижн гостевая конфигурация установлена слейвом к основной. Всё по старым, надёжным и проверенным временем мануалам. А по результату получил что в мастер-сети инет есть а в слейве нет. Маскарадинг (сорснат) на обоих сетях в NAT сделаны. Вот и выламываю себе мозг)

  20. Zerox

    Статья полностью переработана и обновлена.

    • Аватар
      Дмитрий

      Большое спасибо за статью. Только здесь разобрался как мне пробросить порты)))
      У меня RouterOS v6.43.12 (stable)

  21. Аватар
    Сергей

    Добрый день!
    Соединил два микротика с белыми адресами через Ike2 по туннелю
    Порты в firewall не открывал, использовал дефолтный firewall

    и пакеты все идут через первое правило
    add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked

    Так должно быть?

    • Zerox

      Да, так должно быть. Все пакеты после установления соединения идут по этому правилу. В момент установления соединения, пакеты прошли по другому.

      • Аватар
        Сергей

        Но я в firewall не открывал порт 4500?
        Как установилась связь ?

        • Zerox

          На это вам никто не ответит, не видя всех настроек вашего устройства.

          • Аватар
            Сергей

            Настройки все стандартные после сброса микротика

            /ip firewall filter
            add action=accept chain=input comment=\
            "defconf: accept established,related,untracked" connection-state=\
            established,related,untracked
            add action=drop chain=input comment="defconf: drop invalid" connection-state=\
            invalid
            add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
            add action=drop chain=input comment="defconf: drop all not coming from LAN" \
            in-interface-list=!LAN
            add action=accept chain=forward comment="defconf: accept in ipsec policy" \
            ipsec-policy=in,ipsec
            add action=accept chain=forward comment="defconf: accept out ipsec policy" \
            ipsec-policy=out,ipsec
            add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
            connection-state=established,related
            add action=accept chain=forward comment=\
            "defconf: accept established,related, untracked" connection-state=\
            established,related,untracked
            add action=drop chain=forward comment="defconf: drop invalid" \
            connection-state=invalid
            add action=drop chain=forward comment=\
            "defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
            connection-state=new in-interface-list=WAN

            • Аватар
              Сергей

              Если делаю Disable на этом правиле то туннель Ike2 не поднимается
              action=accept chain=input comment=\«defconf: accept established,related,untracked» connection-state=\established,related,untracked

              • Zerox

                Я не настраивал Ike2 никогда на микротиках. Может пакеты untracked помечаются, поэтому по этому правилу проходят? Потушите туннели, сбросьте все счетчики и поднимите туннели. Посмотрите, в каких правилах счетчики увеличились. Дальше можете эти правила редактировать, чтобы точно понять, что к чему.

                • Аватар
                  Сергей

                  Если на этом правиле убрать галку с "established" то туннель не поднимается

                  Интересно это глюк в прошивке 6.45.8 микротика или так должно быть

                  action=accept chain=input comment=\«defconf: accept established,related,untracked» connection-state=\established,related,untracked

  22. Аватар

    Предлагаю для доступа к микротику с любого айпи добавить правило которое добавляет айпи в белый список с лимитом скажем на 1 час
    add chain=input action=add-src-to-address-list protocol=icmp address-list=allow-ip address-list-timeout=1h packet-size=758 log=yes log-prefix="allow-ip" comment="add allow IP"

    при получении пинга с пакетом 758 айпи добавится в список доверенных на 1 час, пинг с компа пакетом 730, 28 байт служебной информации

  23. Аватар
    Валерий

    А почему вы не блокируете invalid в цепочке input?

    • Zerox

      Замечание по делу. Надо блокировать. Эта статья будет переделана в ближайшее время, так как после пройденного обучения я получил более целостное представление и понимание, как лучше всего организовать правила. Эта статья была результатом самообучения и некоторые моменты я либо упустил, либо не понял.

  24. Аватар
    Владимир Н

    Здравствуйте! Подскажите пожалуйста при PPPOE интернете в правилах правильно указывать номер порта на котором кабель провайдера или имя PPPOE интерфейса?

  25. Аватар

    День добрый
    Подскажите, как организовать защищенный канал - на офисах микротики, а сервер на hetznere

  26. Аватар

    Доброго здравия.
    А с чем связано, что сначала идут правила в цепочке input, а уже потом forward.
    Основной поток пакетов это проходящие. Логичнее давать в обработку наиболее часто встречающиеся, а потом уже более редкие.

    • Zerox

      В самом начале все равно стоят правила на установленные соединения. На них попадает подавляющее число пакетов. Я привык всегда начинать с input правил. Так исторически сложилось. Я не работаю в сфере hightload. В моем случае реально не имеет значения, в каком порядке писать правила. Чаще всего я пишу их так, чтобы удобнее было читать и разбираться.

  27. Аватар
    Алексей

    Доброго времени суток, прошу помощи, суть проблемы такова, провели новый 1G кабель, при настройке через квик-сэт банальное поднятие ПППоЕ соединение отваливается, есть разрывы, потеря пакетов 80%. НО! При подключении на прямую к компу всё работает! Если же подключить к роутеру старый 100Мб кабель ПППоЕ не отваливается это у провайдера проблема? или есть какие-то нюансы при настройке 1G... P.S. пока у меня два кабеля 100 и 1G для теста... MikroTik hAP ac (RB962UiGS-5HacT2HnT)

    • Zerox

      Нет никакой разницы, что 100Mb, что 1G. Попробуйте настроить на микротике 1G и позвоните провайдеру, скажите, что у вас потери большие пакетов. Они могут у себя посмотреть и увидеть, в чем проблема. Хотя если этот же кабель и это же ПППоЕ соединение нормально работает на компе, то даже не знаю, что сказать. Решение проблемы усложняется, так как провайдер может просто послать и сказать, что разбирайтесь у себя сами. Но без его логов эту проблему можно вообще не решить.

  28. Аватар

    Почему в первых стандартных разрешающих правилах присутствуют untracked соединения, а в итоговом списке правил в конце статьи в этих же разрешающих правилах untracked соединения отсутствуют?!
    На Mikrotik WIKI вроде их нет в стандартных....

  29. Аватар
    Григорий

    А если я не знаю. с какого ip адреса мне придётся зайти на роутер, то как быть?

    • Zerox

      Настроить где-то внешний vpn со статическим ip и разрешить заходить с него. Либо проще, но менее безопасно - настроить vpn на самом микротике и разрешить доступ только к vpn, а потом уже к winbox.

      • Аватар
        Григорий

        Так это всё платные варианты. Я правильно понимаю, что на халяву как в роутерах keenetic или Tp-link подключаться к микротику не получиться?

        • Zerox

          Я не знаю, что значит на халяву как в tplink или keenetik.

          • Аватар
            Григорий

            Ну это значит бесплатно. Стучишься на имя своего роутера и попадаешь в него. Причём работает даже на сером ip, что на микротике вообще невозможно.

            • Аватар

              Winbox --> Quick Set --> VPN Access
              Задаем пороль. Готово.
              /ip cloud DDNS - Enabled должно быть.
              Firewall Filter Rules - будут добавлены автоматически.

      • Аватар
        Сергей

        Почему менее безопасно — настроить vpn на самом микротике? Из-за отсутствия UDP протокола для OpenVPN?

        • Zerox

          Менее безопасно по сравнению с ограничением по ip адресу. VPN же будет открыто для всех. Но это все равно лучше, чем открывать для всех winbox.

  30. Аватар

    самый простой способ защить доступ к winbox - IP -> Services -> в поле Available From вводите список адресов с кторых доступ разрешен

  31. Аватар
    Виталий

    Zerox, спасибо за мануал. Раньше использовал правило для раздачи интернета по списку:
    add action=accept chain=forward comment="Dostup v Internet po spisku" disabled=yes in-interface=bridge-local out-interface-list=WANList src-address-list=internet
    но с дефолтными настройками это правило не работает, подскажите что не так.
    Сейчас использую следующий конфиг:
    add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
    add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
    add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
    add action=accept chain=input comment=SHH dst-port=49001 protocol=tcp
    add action=drop chain=input comment="defconf: drop all not coming from Lan" in-interface=!all-ppp in-interface-list=!Lan
    add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
    add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
    add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
    add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
    add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
    add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WANList

    • Zerox

      Мне так трудно что-то посоветовать, потому что "не работает" понятие растяжимое. Плюс, надо видеть все настройки. Возьмите за пример статью и сделайте по аналогии, просто добавив список доступа.

  32. Аватар
    Евгений

    add action=drop chain=input comment="all input block" in-interface=ether1
    Если указать это правило, то не будет подключаться PPTP vpn-client на микротике

    • Zerox

      Это правило запрещает все входящие соединения, которые не разрешены явно. Много чего не будет работать. В этом режиме firewall нужно настраивать вручную на подключение только того, что разрешено.

  33. Аватар

    В самом начале статьи нужно описать зачем нужна кнопка "safe mode". Это критически важная информация! Вот прям закриншотить и написать "пред настройкой нажмите эту кнопку!". Из десятка мануалов в инете я только в одном встретил описание этой кнопки.

  34. Аватар
    Дмитрий

    Спасибо за труд! Возник вопрос: что делает 6 правило? сразу за фасттрек. Если мне фасттрек не нужен и форварда нет - нужно ли 6? Спасибо.

    • Zerox

      Это правило автоматом пропускает все установленные соединения цепочки forward. Чтобы они установились, они и так уже прошли по всем правилам, так что гонять их еще раз нет смысла. Проще их сразу разрешать отдельным правилом. Если у вас forward трафика нет, правило не нужно. Но скорее всего этот трафик у вас есть. Без него особо нет смысла и в самом микротике.

  35. Аватар
    Андрей

    добрый день. Я правильно понимаю, что правило фаервола "В завершении запретим все подключения из WAN в LAN" в итоге блокирует проброс портов и wan в bridge тоже? У меня так и произошло.

    • Zerox

      Да, все верно. Для проброса надо отдельные правила с forward делать, открывая только то, что нужно.

  36. Аватар

    Доброго времени суток. В статье описано, как разрешить доступ по апи. Скажите пожалуйста люди знающие есть ли возможность разрешить доступ к микрону или в сеть по маку, чтобы я, допустим, мог зайти на микрот с телефона с динамическим апи, указав мак телефона?

    • Zerox

      Нужно понимать, что микротик увидит ваш мак, только если у него есть такая возможность. Вы должны напрямую подключаться к нему, минуя другие свитчи и роутеры. А вообще, вопрос интересный. У меня никогда не было такой задачи, так что не знаю, можно ли это сделать. Если разберетесь в вопросе, поделитесь информацией.

      • Аватар

        Я в этом вообще чайник.
        Из информации с других источников и от Вас понял, что микрот видит мак устройств только в ЛС, а значит мне такой вариант не подходит.
        Если не брать в расчет фильтрацию по маку, как тогда, имея "белый" апи, сделать так, чтобы микрот фильтровал всех, кроме конкретного устройства учитывая тот факт, что устройство будет пытаться подключиться к роутеру с динамического апи?

        • Zerox

          Никак без посторонних средств. Через интернет вы никак не ограничите доступ, кроме ip адреса. Можно купить vpn со статическим ip, настроить его на телефоне и подключаться к микротику через vpn. А на самом микротике настроить доступ только с этого ip.

          Есть еще возможность динамически открывать доступ к какому-то ip при пинге пакетами определенного размера. Забыл, как это средство называется. Вы ставите размер пакета определенного размера, пингуете им сервер. Он видит этот пакет и открывает на время доступ с ip, с которого идут пинги.

    • Аватар
      Владимир

      разрешить доступ к микрону или в сеть по маку - мне как то казалось что маки на 2 уровне модели, а она ограничивается шлюзами. и исходя из этого либо подключение к единому широковещательному домену либо же будут использоваться ИП адреса (TCP\IP). если исключить "магию" с бриджеванием туннелей, но по сути те же яйца..

      а про диаграмму есть, как мне кажется, более понятные - https://www.qtraining.ru/trainings_files/docs/MikroTik_PacketFlow_Routing24.jpg

  37. Аватар

    А зачем разрешать в первом правиле локальный трафик, если мы его нигде не запрещаем?

    Думаю стандартные правила фейрвол Микротик оптимальнее, так-как они сначала обрабатывают самый распространенный трафик (forward), а потом отсеивают весь остальной. Но стандартные правила не запрещают транзитный (forward) трафик из WAN в LAN, поэтому это правило нужно дописать вручную.
    В итоге набор должен быть таким: https://imgur.com/a/60TkmWO

    add action=fasttrack-connection chain=forward connection-state=established,related
    add action=accept chain=forward connection-state=established,related
    add action=accept chain=forward dst-address=192.168.1.100 dst-port=21 in-interface-list=WAN protocol=tcp
    add action=accept chain=forward dst-address=192.168.1.100 dst-port=55536-55836 in-interface-list=WAN protocol=tcp
    add action=drop chain=forward connection-state=invalid
    add action=drop chain=forward connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
    add action=drop chain=forward in-interface-list=!LAN

    add action=accept chain=input connection-state=established
    add action=accept chain=input connection-state=related
    add action=drop chain=input in-interface-list=!LAN

  38. Аватар
    Николай

    Напишите пожалуста правило разрешающее отвечать на пинги

    • Аватар
      Николай

      День добрый!
      Купил в контору RB1100AHx4, это мой первый Mikrotik. Мне поставили задачу: 7 внешних ip одного провайдера (один шлюз на все ip адреса и все они висят на одном интерфейсе, ether1) должны раздавать интернет строго в свой vlan. Все перегуглил, понятного мне ничего не нашел. С одним ip нет никаких проблем, быстро разобрался и пошла раздача интернета пользователям по vlan2, а вот как дальше с остальными ip да другие vlan2... ((( Если что-то и попадается близкое к моей теме, то только на скриптах, но в них я вообще полный ноль.
      Ладно, даже если каждый внешний ip будет на отдельном интерфейсе, ether2, ether3 и т.д. - то как заставить их раздавать инет строго в свой vlan? То есть, vlan2 должен получать интернет только из 178.12.34.45! Так же и остальные vlan
      Подскажите на пальцах, если это возможно, в графическом интерфейсе, как это можно реализовать. Если нельзя, то хотя бы какую-нибудь альтернативу.
      Заранее благодарен!

      • Zerox

        Если совсем не разбираетесь в сетях, то можно поступить проще. Провод от провайдера воткните в свитч, из этого свитча по одному проводу в отдельные порты Микротика. А дальше уже настраивайте спокойно vlan'ы каждый на своем интерфейсе. Вполне рабочий и удобный вариант. Я делал так в свое время, когда была похожая задача. Я тоже не сообразил, как развести по разным ip сети, при условии, что все ip адреса приходят по одному проводу в один интерфейс. Если все же решите изначальную задачу без свитча, то поделитесь решением.

        • Аватар
          Николай

          Вот и в этом у меня проблема: как спокойно?

        • Аватар
          Николай

          Ведь надо не только по vlan раскидать интернет, но и чтобы у vlan2 был один ip, vlan3 другой и так далее

        • Аватар
          Аноним

          внешний ip

        • Аватар
          Николай

          Один внешний ip адрес я раскидал спокойно на все vlan. Если с каждого vlan зайти на ip.ru - у всех будет один и тот же ip адрес. А надо, чтобы у каждого был свой (((

        • Аватар
          Николай

          Кажется, что надо добавить в Routes list второй внешний ip - толку нет, он висит неактивным. Работает первый добавленный ip. Кого первым внешним завёл - того и тапочки?

        • Аватар
          Николай

          Решение оказалось на радость очень простым и удобным:

          add action=src-nat chain=srcnat out-interface=ether1 src-address=192.168.10.0/24 to-addresses=154.66.43.4
          add action=src-nat chain=srcnat out-interface=ether1 src-address=192.168.20.0/24 to-addresses=154.66.43.6
          add action=src-nat chain=srcnat out-interface=ether1 src-address=192.168.50.0/24 to-addresses=154.66.43.8

          И не надо отдельной настройки маршрутизации в Route! Никаких заморочек с маркировкой в Mangle!
          Подсказал это мне гуру в Микротике, администратор Илья Князев с сайта spw.ru

          • Zerox

            Спасибо, что поделились. Я не знал, что можно так просто сделать через настройки src-nat. Думал, как раз нужно как-то маркировать пакеты.

  39. Аватар

    в каком именно месте firewall из статьи нужно правильно разместить правила блокировки по доменному адресу из примера https://serveradmin.ru/blokirovka-

    sayta-v-mikrotik/ , или есть другой способ. ...мне нужно запретить 8 доменных и 4 ип адреса чтобы не упдатился SMASUNG TV

    • Zerox

      Перед разрешающими правилами forward для доступа из локалки в интернет. Они могут быть разными, но смысл в том, что перед разрешающим правилом ставим выше запрещающие для отдельных адресов.

  40. Аватар
    Владимир

    Прошу прощения, но разве при настройке проброса портов, помимо правила в NAT не надо добавлять соответствующее разрешающее правило в firewall?
    У меня без него не заработало. Более того, rdp не заработал при наличии правила input, как было написано в одной статье, а только когда указал forward.
    (да, само собой, что открывать rdp наружу это моветон, даже через другой внешний порт, и я всегда сам работаю через vpn, но понадобилось иногда открывать на короткое время именно rdp)

    • Zerox

      Все правильно, разрешающее правило forward, где входящий интерфейс WAN, а Dst. Address - внутренний адрес сервиса в локалке, куда прокидывается порт, должно быть, чтобы заработал проброс. Я упустил этот момент. Цепочка input тут ни при чем.

  41. Аватар
    Сергей

    Добрый день. Спасибо за написание данной статьи. Я новичок, прочитав вашу статью я сделал вот такие исправления в своем firewall. Правильно ли я сделал, последовательность правильная?

    /ip firewall filter
    add action=drop chain=input comment="Drop access to DNS from WAN-list-WANs" \
    dst-port=53 in-interface-list=WANs protocol=tcp
    add action=drop chain=input comment=list-WANs dst-port=53 in-interface-list=\
    WANs protocol=udp
    add action=accept chain=input comment="Allow PING (ICMP)" protocol=icmp
    add action=accept chain=input in-interface-list=BRIDGEs
    add action=accept chain=input comment="defconf: accept established,related" \
    connection-state=established,related
    add action=drop chain=input comment="defconf: drop all from WAN-list-WANs" \
    in-interface-list=WANs
    add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related routing-mark=main
    add action=accept chain=forward comment="defconf: accept established,related" \
    connection-state=established,related
    add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
    add action=drop chain=forward comment="drop WAN->LAN" in-interface-list=WANs \
    out-interface-list=BRIDGEs
    add action=drop chain=forward comment=\
    "defconf: drop all from WAN not DSTNATed-list-WANs" \
    connection-nat-state=!dstnat connection-state=new in-interface-list=WANs

    • Аватар
      Аноним

      Добрый день. Возьмите себе на заметку одно важное правило: сначала accept, затем только drop. вот небольшой пример:
      /ip firewall filter
      add action=drop chain=input connection-state=invalid in-interface-list=ISP
      add action=accept chain=input connection-state=established,related,untracked in-interface-list=ISP
      add action=accept chain=input in-interface-list=ISP protocol=icmp
      add action=accept chain=input connection-nat-state=dstnat dst-port=22 in-interface-list=ISP protocol=tcp
      add action=accept chain=input dst-port=8291 in-interface-list=ISP protocol=tcp
      add action=accept chain=input dst-port=1723 in-interface-list=ISP protocol=tcp
      add action=drop chain=input in-interface-list=ISP
      Всего 8 правил, нечего лишнего нет.

      Как можно оптимизировать настройки фильтра, для уменьшения нагрузки на процессор?

      Конечное бросается в глаза первое правило которое отбрасывает invalid пакеты, но ведь такого трафика единицы, и уж точно меньше чем пакетов в установленных соединениях.

      Необходимо поменять местами первое и второе правило, тем самым под самое первое правило будет попадать абсолютное большинство пакетов, и под следующие правила пакеты естественно не попадут так как accept правила терминирующее, 99% всего трафика на маршрутизаторе это established.

      Просто представьте себе такую ситуацию, к вам на маршрутизатор приходит 2000PPS и 99% данных пакетов, это пакеты которые принадлежат уже установленным соединениям. Если оставить как есть, то маршрутизатор в секунду будет проверять 2000 пакетов и сработает только 20 раз (1%), далее 1980 пакетов попадут во второе правило и только после это трафик попадёт в сокет на маршрутизатора. В итоге 3980 операций сравнения в секунду.

      Если же поменять правила местами, то в первое правило попадёт 1980 пакетов и сразу будет отправлен в сокет маршрутизатора, и во второе отправиться уже только 20 пакетов (1%) В итоге 2020 операций сравнения в секунду.
      /ip firewall filter
      add action=accept chain=input connection-state=established,related,untracked in-interface-list=ISP
      add action=drop chain=input connection-state=invalid in-interface-list=ISP
      add action=accept chain=input in-interface-list=ISP protocol=icmp
      add action=accept chain=input connection-nat-state=dstnat dst-port=22 in-interface-list=ISP protocol=tcp
      add action=accept chain=input dst-port=8291 in-interface-list=ISP protocol=tcp
      add action=accept chain=input dst-port=1723 in-interface-list=ISP protocol=tcp
      add action=drop chain=input in-interface-list=ISP
      Экономия существенная.

      • Zerox

        Друг, жму руку. Очень крутое и понятное объяснение. В голове отложилось сказанное. Обычно, когда ваяешь правила, не всегда обращаешь внимание на нюансы, где какое должно быть. Но различия принципиальные.

  42. Аватар

    К вопросу о дальних поездках - выручить может режим safe mode. В случае обрыва соединения внесённые изменения будут отменены. Подобная опция есть ещё в Cisco и вероятно других сетевых устройствах.
    Защитить rdp и другие службы можно настройкой некого подобия защиты от перебора или port-knocking.

    • Zerox

      Спасибо за дополнение. Уже когда написал статью, подумал, что зря не написал про safe mode. Изначально забыл про него и не внес в план статьи. Потом уже не стал переделывать. Надо отдельным пунктом описать этот механизм.

  43. Аватар

    Спасибо за pdf статью, теперь ее можно почитать на досуге с планшета!

  44. Аватар

    Прекратите использовать netmap для проброса портов! Это трансляция сеть-в-сеть, она нужна для другого и в конфигурации с пробросом только увеличивает нагрузку на CPU.

    И вообще статья очень слабая, на новогодних выходных на хабре был хороший разбор этой темы, включая правильное использование netmap, кому интересно найдете сами.

    P.S. А блин, чего я парюсь тут 2 рекламных ссылки все понятно с автором.

    • Zerox

      Могли бы и привести ссылку на статью. Я не поленился, поискал. Вот она - https://habr.com/ru/post/435070/
      Я ее не читал, но сейчас посмотрел. Статья действительно очень полезная. Набор базовых правил для обычной локалки почти такой же как у меня, только по-умолчанию весь forward трафик блокируется, который не разрешен явно, но при этом вся локалка все равно разрешена. То есть по сути рекомендации те же самые.

      Про netmap я понял. Меня в свое время ввела в заблуждение другая статья, где упоминался netmap, я ее тоже нашел - https://habr.com/ru/post/182166/ Прочитал много лет назад и отложилось. Я поправлю статью.

      • Аватар

        Есть оффициальный вики микротика, советую использовать только её, при всём уважении к хабру. Также, пожалуйста, дополните, что для отключения фаервола правила можно задизейблить, а не удалять. При дизейбле конфиг с правилами сохранится, но правила будут отключены, это удобно при траблшутинге.

        • Zerox

          Официальную документацию я почти всегда читаю к настраиваемым продуктам. Даже тут на нее ссылку привел. Не будучи большим специалистом по сетям, для меня не очевидно по описанию из wiki, что netmap является чем-то недопустимым при пробросе портов. По факту у меня дома такой проброс настроен много лет и никаких проблем я не испытывал. И знать не знал, что это что-то невероятное для такого случая, по мнению местных комментаторов.

      • Аватар

        Суть не в наборе базовых правил. Чувак заморочился и описал как пакет идет по firewall, что делает nat, где и как отрадатывает coontack и прочее.

  45. Аватар

    Почему опять netmap-то? Ну почему? Ведь есть же dst-nat.

    • Zerox

      Можете в двух словах объяснить, в чем разница? Я всегда использую netmap, просто потому, что когда то давно это увидел. Дальше просто по привычке копирую. И самое главное, что в этом плохого, что надо поменять.

      • Аватар

        Разница в том, что это разные инструменты для разных целей, обрабытываются по-разному. При более сложной настройке можно схватить граблей плюс нагрузка на ЦПУ слегка выше. Понимаю, что в soho разницы скорее всего видно не будет, но ведь у вас это скопируют - как пить дать и понесут дальше :)

        • Аватар
          Владислав

          Так микротик выше чем в SOHO не используют.

          • Аватар

            Интересное заблуждение, но спорить не буду )

          • Zerox

            Не знаю насколько успешно, но некоторые провайдеры тоже используют. Я наблюдал лично.

            • Аватар
              Владислав

              Я даже работал в саппорте такого провайдера, и в свое время наша компания была клиентом аналогичного провайдера - прямо у нас в коммутационном шкафу они поселили свой микротик от которого запитали всех клиентов в здании. Иногда интернет пропадал, не часто, но стабильные простои раз в месяц-три по разным причинам. Я бы таких провайдеров назвал SOHO-ISP :)
              Вот на днях я в одном из своих офисов выкинул RB951G-2HnD, потому что он перестал справляться с нагрузкой...
              В сильном ентерпрайсе с требованиями к надежности сети обычно юзают Juniper и CISCO

              • Zerox

                При чем тут надежность? Если железка не тянет нагрузку, то она просто не в том месте трудится. С надежностью как раз у Микротик проблем нет. В этом плане к ним у меня никаких претензий.

              • Аватар
                Аноним

                Если вы не сможете тягать штангу в тонну, это ваша ненадёжность или всё-таки неподходящая организму нагрузка, мм?
                Смешно просто, как легко люди путают надёжность с ограничениями.

                > Вот на днях я в одном из своих офисов выкинул RB951G-2HnD
                Угу, нагрузка превысила лимит железа. Казалось бы, что могло пойти не так?

      • Аватар
        Александр

        Net-map используется для подмены всей подсети, с подменой 1:1 то есть мы можем поменять 88.0/24 net-map 89.0/24. На сколько я знаю то особо нет разницы что использовать для одного ip, но правило хорошего тона и все таки нужно использовать инструменты по назначению.

        • Zerox

          Заметил маленькое удобство netmap в сравнении с dst-nat. Для последнего нужно дополнительно разрешающее правило forward делать, а для netmap нет.

Добавить комментарий

Ваш адрес email не будет опубликован.

Нажимая кнопку "Отправить комментарий" Я даю согласие на обработку персональных данных.