WiFi Home
  • Homepage
  • Články
  • Ceník
  • Kontakt

Firewall na Mikrotiku

Mikrotik routery nabízí v základní konfiguraci celkem efektivní firewall. Jeho hlavním cílem je blokovat všechna nově příchozí spojení z internetu a zároveň umožnit nerušenou komunikaci z lokální sítě směrem do internetu.

Základní firewall

Firewall v továrním nastavení má jen několik statických pravidel:

/ip firewall filter
add action=accept chain=input comment=”defconf: accept established,related,untracked” connection-state=established,related,untracked
add action=drop chain=input comment=”defconf: drop invalid” connection-state=invalid
add action=accept chain=input comment=”defconf: accept ICMP” protocol=icmp
add action=accept chain=input comment=”defconf: accept to local loopback (for CAPsMAN)” dst-address=127.0.0.1
add action=drop chain=input comment=”defconf: drop all not coming from LAN” in-interface-list=!LAN
add action=accept chain=forward comment=”defconf: accept in ipsec policy” ipsec-policy=in,ipsec
add action=accept chain=forward comment=”defconf: accept out ipsec policy” ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment=”defconf: fasttrack” connection-state=established,related
add action=accept chain=forward comment=”defconf: accept established,related, untracked” connection-state=established,related,untracked
add action=drop chain=forward comment=”defconf: drop invalid” connection-state=invalid
add action=drop chain=forward comment=”defconf: drop all from WAN not DSTNATed” connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment=”defconf: masquerade” ipsec-policy=out,none out-interface-list=WAN

Tento základní firewall je dostačující pro většinu uživatelů. Nedokáže ale aktivně reagovat na případné útoky z internetu ve chvíli, kdy je Mikrotik dostupný skrz veřejnou IP.

Pokročilejší firewall

Přidáním několika málo pravidel můžeme zvýšit zabezpečení detekcí a blokováním Port scannerů a Syn flood útoků.

/ip firewall filter
add action=add-src-to-address-list address-list=Syn_Flooder address-list-timeout=30m chain=input comment=”Add Syn Flood IP to the list” connection-limit=30,32 disabled=no protocol=tcp tcp-flags=syn
add action=drop chain=input comment=”Drop to syn flood list” disabled=no src-address-list=Syn_Flooder
add action=add-src-to-address-list address-list=Port_Scanner address-list-timeout=1w chain=input comment=”Port Scanner Detect”disabled=no protocol=tcp psd=21,3s,3,1
add action=drop chain=input comment=”Drop to port scan list” disabled=no src-address-list=Port_Scanner
add action=accept chain=input comment=”defconf: accept established,related,untracked” connection-state=established,related,untracked
add action=drop chain=input comment=”defconf: drop invalid” connection-state=invalid
add action=accept chain=input comment=”defconf: accept ICMP” protocol=icmp
add action=accept chain=input comment=”defconf: accept to local loopback (for CAPsMAN)” dst-address=127.0.0.1
add action=drop chain=input comment=”defconf: drop all not coming from LAN” in-interface-list=!LAN
add action=accept chain=forward comment=”defconf: accept in ipsec policy” ipsec-policy=in,ipsec
add action=accept chain=forward comment=”defconf: accept out ipsec policy” ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment=”defconf: fasttrack” connection-state=established,related
add action=accept chain=forward comment=”defconf: accept established,related, untracked” connection-state=established,related,untracked
add action=drop chain=forward comment=”defconf: drop invalid” connection-state=invalid
add action=drop chain=forward comment=”defconf: drop all from WAN not DSTNATed” connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment=”defconf: masquerade” ipsec-policy=out,none out-interface-list=WAN

U tvorby pokročilejšího firewallu je třeba brát ohled na výpočetní výkon Mikrotik routeru. Příliš komplexní firewall může mít negativní dopad na na celkovou propustnost sítě, pokud není router dostatečně výkonný.

Inteligentní firewall pro firmy

Pro firemní prostředí nabízíme zákazníkům pokročilý firewall, který detekuje a blokuje pokusy o napadení z WAN sítě.

Sháníte externí firmu pro správu Mikrotik systému?

Mikrotik je úžasné zařízení s neuvěřitelnými možnostmi. Jeho konfigurace ale může pro nezkušené uživatele znamenat velký oříšek. Netrapte se s nastavováním pokus-omyl, nechte si router odborně nakonfigurovat. Kontakt

Winbox ERROR: RoMON Agent not found. Add it to Managed List Mějte přehled o své datové síti s Mikrotik DUDE

Related Posts

Chraňte svoji datovou síť - používejte DHCP Snooping

Bezpečnost, Mikrotik

Chraňte svoji datovou síť – používejte DHCP Snooping

Mějte přehled o své datové síti s Mikrotik DUDE

Mikrotik, Ostatní

Mějte přehled o své datové síti s Mikrotik DUDE

RoMon-issue-with-Winbox

Mikrotik

Winbox ERROR: RoMON Agent not found. Add it to Managed List

Nejnovější

  • Chraňte svoji datovou síť – používejte DHCP Snooping
  • Mějte přehled o své datové síti s Mikrotik DUDE
  • Firewall na Mikrotiku
  • Winbox ERROR: RoMON Agent not found. Add it to Managed List
  • Zvyšte svoji ochranu na internetu. Jednoduše a zdarma!

Nejčtenější

  • Firewall na Mikrotiku
  • Mějte přehled o své datové síti s Mikrotik DUDE
  • Zvyšte svoji ochranu na internetu. Jednoduše a zdarma!
  • Winbox ERROR: RoMON Agent not found. Add it to Managed List
  • Chraňte svoji datovou síť - používejte DHCP Snooping
Copyright 2019, Ing. Jiří Kulda
Powered by WordPress • Themify WordPress Themes