Файервол в MikroTik обрабатывает правила последовательно, начиная с первого и заканчивая последним. Важно понимать, что приоритет имеет первое подходящее правило в списке. Например, если сначала запретить весь исходящий трафик, а затем разрешить конкретный адрес, результат будет зависеть от порядка правил: Вкладка General определяет область применения правила: Дополнительные параметры: Action определяет, что произойдёт с пакетом при соответствии условиям: Запрет всего трафика с IP-адреса 172.17.0.245 по протоколу TCP и порту 80: Следуя этим инструкциям, вы сможете настроить базовую защиту сетевого трафика на вашем устройстве MikroTik.
Основные принципы работы
Файервол в MikroTik обрабатывает правила последовательно, начиная с первого и заканчивая последним. Важно понимать, что приоритет имеет первое подходящее правило в списке.
Например, если сначала запретить весь исходящий трафик, а затем разрешить конкретный адрес, результат будет зависеть от порядка правил:
- Если разрешающее правило выше — будет заблокирован весь трафик, кроме указанного адреса.
- Если запрещающее правило выше — будет заблокирован весь трафик, включая разрешённый адрес.
Основные параметры настройки
Вкладка General определяет область применения правила:
- Chain — определяет тип трафика:
Input — входящий трафик на сам роутер (Winbox, SSH, DNS, ping).
Output — исходящий трафик от MikroTik (обновления системы, отправка журналов).
Forward — трафик, проходящий через роутер (LAN <-> WAN). - Src Address — исходный IP-адрес отправителя.
- Dst Address — целевой IP-адрес получателя.
- Protocol — тип протокола (TCP, UDP, ICMP и др.).
- Src Port — порты источника.
- Dst Port — порты назначения.
- Any Port — любой порт (может относиться как к src-port, так и к dst-port).
- In Interface — входящий интерфейс.
- Out Interface — исходящий интерфейс.
Дополнительные параметры:
- Advanced — редко используемые параметры (размер пакета, приоритет, опции ICMP).
- Extra — ещё более специфические параметры (временные настройки правил).
Действия над трафиком
Action определяет, что произойдёт с пакетом при соответствии условиям:
- Accept — разрешить трафик.
- Drop — запретить и отбросить пакет.
- Reject — отклонить с уведомлением.
- Add-dst-to-address-list — добавить адрес назначения в список адресов.
- Log-prefix — добавить префикс для записи в системный лог.
Пример настройки
Запрет всего трафика с IP-адреса 172.17.0.245 по протоколу TCP и порту 80:
- Chain: Forward
- Src Address: 172.17.0.245
- Protocol: TCP
- Dst Port: 80
- Action: Drop
Следуя этим инструкциям, вы сможете настроить базовую защиту сетевого трафика на вашем устройстве MikroTik.