Mikrotik IPv4/IPv6 firewall

**teodor_ch** · 06-02-18, 09:14

Αρχικό μήνυμα από Nikiforos

Οι κανονες με τα drop ΠΑΝΤΑ υπηρχαν μπηκαν από την 1η μερα που μου εκανε η cosmote το apn vpn-internet και πηρα public ip.
Γιαυτο κιολας στην αρχη ειχα πολλα θεματα με τα vpn γιατι ηθελε κανονες να επιτρεπω subnets κτλ.

Καλά θυμάμαι

https://www.adslgr.com/forum/threads...=1#post6206693
Δές και το επόμενο ποστ.

Τους είχες αλλά disabled και σου γράφω απο κάτω

Αρχικό μήνυμα από teodor_ch

αν έχεις απενεργοποιήσει τους drop all others τότε δεν έχεις σωστό firewall!

αυτοί ΠΡΕΠΕΙ να υπάρχουν εκτός αν καταφέρεις απο πάνω να κάνεις drop ότι δεν θές (νομίζω αδύνατον!)

**macro** · 06-02-18, 10:25

Και το πιο σωστο ειναι στο drop everything να μη δηλωνετε in interface. Nα μη δηλωνετε τπτ.

Αν εχετε δηλωσει in interface ΟΛΑ τα dst add. & dst. ports ΔΕ κοβοντε. Για αυτο προσοχη.

**Nikiforos** · 06-02-18, 11:38

Kαλημερα, Θοδωρή ναι σωστα γιατι δεν δουλευαν τα vpn, δεν θυμαμαι ουτε καν ποτε τους εκλεισα, αλλα μετα εφτιαξα τους κανονες να τα επιτρεπουν και ανοιξα παλι αυτό με τα others!
μην νομιζει κανεις ότι ηταν ανενεργοι τοσο καιρο!!!!
μιλαμε για 1-2 εβδομάδες το πολυ....τωρα δεν θυμαμαι αν το DNS θεμα συνεβει τοτε, μπορει....δεν εχω χρονο να ψαχνω ποστς πισω δυστυχως!
δεν θυμαμαι κιολας ακριβως ποτε ειχε γινει.
Παντως τωρα τα εχω όλα σωστα, απλα εχω περιττους κανονες που στην ουσια δεν κανουν τπτ απλα υπαρχουν ενεργοι.
Μιλαω ΠΑΝΤΑ για το 951 με την κινητη, γιατι το 108 το εχω σενιαρει.

**jkarabas** · 07-02-18, 14:38

Αρχικό μήνυμα από Nikiforos

Kαλημερα, Θοδωρή ναι σωστα γιατι δεν δουλευαν τα vpn, δεν θυμαμαι ουτε καν ποτε τους εκλεισα, αλλα μετα εφτιαξα τους κανονες να τα επιτρεπουν και ανοιξα παλι αυτό με τα others!
μην νομιζει κανεις ότι ηταν ανενεργοι τοσο καιρο!!!!
μιλαμε για 1-2 εβδομάδες το πολυ....τωρα δεν θυμαμαι αν το DNS θεμα συνεβει τοτε, μπορει....δεν εχω χρονο να ψαχνω ποστς πισω δυστυχως!
δεν θυμαμαι κιολας ακριβως ποτε ειχε γινει.
Παντως τωρα τα εχω όλα σωστα, απλα εχω περιττους κανονες που στην ουσια δεν κανουν τπτ απλα υπαρχουν ενεργοι.
Μιλαω ΠΑΝΤΑ για το 951 με την κινητη, γιατι το 108 το εχω σενιαρει.

Τελικά του άφησες τους κανόνες με την 53 ενεργούς;

**Nikiforos** · 07-02-18, 14:39

Αρχικό μήνυμα από jkarabas

Τελικά του άφησες τους κανόνες με την 53 ενεργούς;

ναι δεν εχω χρονο να ασχοληθώ αυτές τις μερες, δεν περισσευει ουτε 1 λεπτο....

**jkarabas** · 07-02-18, 14:44

Αρχικό μήνυμα από Nikiforos

ναι δεν εχω χρονο να ασχοληθώ αυτές τις μερες, δεν περισσευει ουτε 1 λεπτο....

Καλά όταν βρεις λίγο χρόνο κοίταξέ το, γιατί η λογική με το drop everything else πιθανολογώ ότι ισχύει.

**Nikiforos** · 07-02-18, 15:22

Αρχικό μήνυμα από jkarabas

Καλά όταν βρεις λίγο χρόνο κοίταξέ το, γιατί η λογική με το drop everything else πιθανολογώ ότι ισχύει.

Ναι καποια στιγμη θελει ψαξιμο γιατι εχω πολλους κανονες και βλεπω ΔΕΝ μετρανε.
Κακο όπως ειπα δεν κανουν απλα είναι περιττοι.

**jkarabas** · 10-02-18, 10:47

Αρχικό μήνυμα από macro

Αυτο εχω σαν γενικο που βαζω παντου...........

Κώδικας:

/ip firewall filter

add action=drop chain=forward comment=Ransomware_Pretection_Ports port=135-139,445,3389 protocol=tcp
add action=drop chain=forward port=135-139,445,3389 protocol=udp

Καλημέρα αυτές τις πόρτες γιατί τις κάνεις drop; Από ότι είδα αφορούν κάποια services της microsoft.

**macro** · 10-02-18, 11:03

τις κανω drop στο dst.port και οχι στο any οπως λαθος το εχω ποσταρει και ειναι για προστατευεσαι απο το ransomware. Δε κοβει τπτ απο services της microsoft.

**jkarabas** · 10-02-18, 13:58

Αρχικό μήνυμα από macro

τις κανω drop στο dst.port και οχι στο any οπως λαθος το εχω ποσταρει και ειναι για προστατευεσαι απο το ransomware. Δε κοβει τπτ απο services της microsoft.

Είδα που χρησιμοποιούνται.
Δεν υποτίθεται ότι κόβεις τα πάντα με το drop everything else στο τέλος? και επιτρέπεις από πάνω τι να περνάει; Δηλ. θέλω να πω ότι χρειάζεται να δηλώσεις το drop για τις συγκεκριμένες πόρτες?

https://el.wikipedia.org/wiki/%CE%9A...E%B1%CE%B9_UDP

**macro** · 10-02-18, 14:24

Οχι το drop δε κοβει τα dst. διοτι τα επιτρεπεις απο το allow from lan, απο οσο ειδα......

**puntomania** · 10-02-18, 17:11

σε συνέχεια του setup μου στο 3011...

το config Μου είναι αυτό.

Spoiler:

έφτιαξα το vlan-50 που είναι το interface του hotspot.

έβαλα ένα AP στο LAN το ρύθμισα με το vlan-50

συνδέομαι σε αυτό κανονικά παίρνω ip από το range του hotspot και μου ανοίγει η σελίδα για το login, κάνω login, έχω πρόσβαση τοπικά αλλά όχι ίντερνετ!!!

στο mangle τι πρέπει να προσθέσω για το 192.168.3.0/24? δοκίμασα με με τους αντίστοιχους κανόνες που υπάρχουν για το 192.168.0.0/24 αλλά δεν κάνει κάτι...!

για δώστε μου καμιά βοήθεια.

--------------

στην wan2 δίνω ιντερνετ στο wifi του speedport ( 192.168.20.0/24 ) και παίζει κανονικά.

**kostas2911** · 10-02-18, 19:14

Αρχικό μήνυμα από puntomania

/ip hotspot user profile
add add-mac-cookie=no !mac-cookie-timeout name=HOTSPOT-GUEST rate-limit=5M/300K session-timeout=10m shared-users=50 \
transparent-proxy=yes

Καταρχήν το rate limit είναι ανάποδα. Πρώτα βάζεις το upload. Θα έπρεπε να είναι 300k/5M. Εκτός κι αν το έχεις βάλει εσκεμένα έτσι

**macro** · 10-02-18, 19:43

Δες αν ο dhcp εχει σωστο dns.

**puntomania** · 11-02-18, 02:22

κάτι στο mangle θέλει αλλαγή η προσθήκη...

- - - Updated - - -

όσο έψαξα ολοι κάνουν αναφορα οτι θέλει το hotspot=auth

add action=mark-connection chain=prerouting dst-address-type=!local hotspot=auth in-interface=Local new-connection-mark=WAN1_conn per-connection-classifier=both-addresses-and-ports:2/0
add action=mark-connection chain=prerouting dst-address-type=!local hotspot=auth in-interface=Local new-connection-mark=WAN2_conn per-connection-classifier=both-addresses-and-ports:2/1
...

στην περίπτωσή μου όμως εγώ έχω..

add action=mark-connection chain=policy_route dst-address-type=!local new-connection-mark=to_wan1 passthrough=yes per-connection-classifier=both-addresses-and-ports:3/0
add action=mark-connection chain=policy_route dst-address-type=!local new-connection-mark=to_wan2 passthrough=yes per-connection-classifier=both-addresses-and-ports:3/1
add action=mark-connection chain=policy_route dst-address-type=!local new-connection-mark=to_wan3 passthrough=yes per-connection-classifier=both-addresses-and-ports:3/2

chain=policy_route βάζω ναι μεν το hotspot=auth άλλα και πάλι δεν έχει ιντερνετ το hotspot.

- - - Updated - - -

Αρχικό μήνυμα από kostas2911

Καταρχήν το rate limit είναι ανάποδα. Πρώτα βάζεις το upload. Θα έπρεπε να είναι 300k/5M. Εκτός κι αν το έχεις βάλει εσκεμένα έτσι

ναι οκ... αυτό είναι δευτερεύων...

- - - Updated - - -

Αρχικό μήνυμα από macro

Δες αν ο dhcp εχει σωστο dns.

το τσέκαρα...

Θέμα: Mikrotik IPv4/IPv6 firewall

Παρόμοια Θέματα

Mikrotik IPv6 σε PPPoE client με modem σε bridge mode

Έναρξη πιλοτικής λειτουργίας IPv4/IPv6 dual stack από τον ΟΤΕ

Mikrotik 2011 DHCP lease failed without success Point to Multipoint

IPV6 + IPV4 SPEED TEST

Tags για αυτό το Θέμα

Bookmarks

Bookmarks

Δικαιώματα - Επιλογές