Mikrotik IPv4/IPv6 firewall

**teodor_ch** · 16-12-18, 15:21

Αρχικό μήνυμα από jkarabas

Έχεις δίκιο (θα εξοπλιστώ με υπομονή) μετά το reset θα αφήσω το δικό του firewall και θα χτίσω πάνω του. Σε κάθε απορία μιλάμε.
Γνωρίζω για το reset με το κουμπί μήπως καλύτερα να το κάνω και με το netinstall?

αν έχεις όρεξη ακόμα καλύτερα αρκεί να μήν τικάρεις το keep old configuration

**jkarabas** · 16-12-18, 15:24

Αρχικό μήνυμα από teodor_ch

αν έχεις όρεξη ακόμα καλύτερα αρκεί να μήν τικάρεις το keep old configuration

Αυτό το keep old configuration υπάρχει και στο netinstall δεν θυμάμαι. Στο winbox είναι μέσα σαν επιλογή.

**macro** · 16-12-18, 18:58

Παρε ενα export file=backup και στηστο απο την αρχη.

**jkarabas** · 16-12-18, 23:38

Με ποιο τρόπο τρόπο θα κρατήσω το default configuration όσο αφορά το firewall? Μετά το netinstall έχω την εντύπωση ότι δεν κρατά το default.

- - - Updated - - -

Αρχικό μήνυμα από macro

Παρε ενα export file=backup και στηστο απο την αρχη.

Έχω ήδη ετοιμαστεί με τα backup αλλά μήπως έχω θέμα με το υπάρχον configuration και κάνοντας backup θα έχω τα ίδια. Θα δοκιμάσω και θα δω.
Ξέρεις κάποιος που μπορώ να βρω το deafault firewall που έχει μέσα το mikrotik? Το ψάχνω.

**macro** · 17-12-18, 10:44

Βαλτο να κανει reset conf. και πριν το κανεις εκει που εχει το keep old, εχει αλλο ενα check box που λεει load default conf.

**jkarabas** · 17-12-18, 11:02

Αρχικό μήνυμα από macro

Βαλτο να κανει reset conf. και πριν το κανεις εκει που εχει το keep old, εχει αλλο ενα check box που λεει load default conf.

Καλημέρα
Το γνωρίζω, απλά δεν θα ήθελα και όλα τα άλλα που έχει μέσα στο load default conf θα προτιμούσα remove το default και να έχω κάπου το default firewall.
Τώρα που το σκέφτομαι αυτό γίνεται κάνοντας export μόνο το firewall και μετά reset πάλι.
Πάντως χθες που έκανα import διάφορα backups που είχα δεν διορθώθηκε κάτι.

**macro** · 17-12-18, 11:04

Και καπως αλλιως φορτωνει το default αλλα δε το θυμαμαι.................. οποιος το βρει ας το ποσταρει.

**puntomania** · 17-12-18, 11:06

...κάνε ;export το δικό σου που έχεις τώρα.... μετά πας στο load default conf.... κάνεις πάλι export....

στο notepad βάλε το παλιό όλο.... και αντικατέστησε το κομμάτι του filter με του default απ το 2ο export... και πέρασε το όλο πίσω... έτσι θα έχεις το παλιό σου config...με το default firewall filter!!!

**jkarabas** · 17-12-18, 11:24

Αρχικό μήνυμα από puntomania

...κάνε ;export το δικό σου που έχεις τώρα.... μετά πας στο load default conf.... κάνεις πάλι export....

στο notepad βάλε το παλιό όλο.... και αντικατέστησε το κομμάτι του filter με του default απ το 2ο export... και πέρασε το όλο πίσω... έτσι θα έχεις το παλιό σου config...με το default firewall filter!!!

Και έτσι γίνεται...αλλά μήπως πρέπει να στηθούν όλα από την αρχή με ένα Netinstall και να ησυχάσω μια και καλή.

**puntomania** · 17-12-18, 11:34

Αρχικό μήνυμα από jkarabas

Και έτσι γίνεται...αλλά μήπως πρέπει να στηθούν όλα από την αρχή με ένα Netinstall και να ησυχάσω μια και καλή.

δες αν σε βοηθάει αυτό με ρεσετ απ το κουμπάκι ειναι

Spoiler:

- - - Updated - - -

και αυτό με ρεσετ μεσα απ το winbox ειναι ( αν και δε νομίζω να έχει διαφορά )

Spoiler:

**jkarabas** · 17-12-18, 11:40

Αρχικό μήνυμα από puntomania

δες αν σε βοηθάει αυτό με ρεσετ απ το κουμπάκι ειναι

Spoiler:

- - - Updated - - -

και αυτό με ρεσετ μεσα απ το winbox ειναι ( αν και δε νομίζω να έχει διαφορά )

Spoiler:

Τι έγινε είχες έτοιμο ρουτερ για δοκιμές ή τα βρήκες?....

Ευχαριστώ
Τα ίδια φαίνονται από ότι βλέπω.

**puntomania** · 17-12-18, 14:05

Αρχικό μήνυμα από jkarabas

Τι έγινε είχες έτοιμο ρουτερ για δοκιμές ή τα βρήκες?....

Ευχαριστώ
Τα ίδια φαίνονται από ότι βλέπω.

το είχα ξεχασμένο στο συρτάρι εδώ δίπλα...

**jkarabas** · 17-12-18, 18:52

Δεν μπορώ να κατανοήσω στο default firewall στους παρακάτω κανόνες γιατί να υπάρχει δηλωμένο το in interface list και όχι το απλό in.interface ποια η διαφορά τους ξέρει κανείς?
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN

**macro** · 17-12-18, 19:16

Για να αποφυγει τους πολλους κανονες στο filter φτιαχνει μια list.

**jkarabas** · 18-12-18, 18:34

Αρχικό μήνυμα από macro

Για να αποφυγει τους πολλους κανονες στο filter φτιαχνει μια list.

Ποιους πολλούς κανόνες? οι παραπάνω δεν μπορούν να γραφτούν όπως παρακάτω? Ποια η διαφορά;
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface=WAN
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface=!LAN

Λίστα είναι ότι όταν έχεις πολλά μαζί interfaces και τα βάζεις όλα μαζί σε μια λίστα. Σωστά; Πρόσεξα ότι είναι δηλωμένα στα interfaces lists.

- - - Updated - - -

Έκανα reset από μέσα->Remove Configuration τα έστησα όλα από την αρχή (τα βασικά) πέρασα το default firewall και πέρασα τους κανόνες των port scan και πάλι δεν δούλεψε!!!!

Κώδικας:

/ip firewall filter
add action=accept chain=input comment= "defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN

add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="Add port scanners to list" protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input comment="______Drop port scanners from list" src-address-list="Port Scanners"

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment= "defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment= "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN

Τους άλλαξα τη σειρά παντού αλλά και πάλι τίποτα. Το επόμενο βήμα θα είναι να το κάνω με το netinstall που τα σβήνω όλα και περνάει το πακέτο της ROS από την αρχή. Δεν ξέρω τι άλλο να υποθέσω;

- - - Updated - - -

Λοιπόν τα έστησα όλα από την αρχή με το netinstall, άρα το config εντελώς κενό. Έβαλα το default firewall και εκεί πρόσθεσα τους κανόνες των port scan.
Τρέχω από το κινητό μου στην εξωτερική Ip του Mikrotik αλλά και πάλι οι κανόνες δεν δουλεύουν.

Κώδικας:

/ip firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN

add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="Add port scanners to list" protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______NMAP FIN Stealth scan" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______SYN/FIN scan" protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______SYN/RST scan" protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______FIN/PSH/URG scan" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______ALL/ALL scan" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="Port Scanners" address-list-timeout=2w chain=input comment="______NMAP NULL scan" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input comment="______Drop port scanners from list" src-address-list="Port Scanners"

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN

Έχει κάποιος κάποια ιδέα τι μπορεί να συμβαίνει??
Μου έχει σπάσει τα νεύρα δεν μπορώ να το εξηγήσω??

Θέμα: Mikrotik IPv4/IPv6 firewall

Παρόμοια Θέματα

Mikrotik IPv6 σε PPPoE client με modem σε bridge mode

Έναρξη πιλοτικής λειτουργίας IPv4/IPv6 dual stack από τον ΟΤΕ

Mikrotik 2011 DHCP lease failed without success Point to Multipoint

IPV6 + IPV4 SPEED TEST

Tags για αυτό το Θέμα

Bookmarks

Bookmarks

Δικαιώματα - Επιλογές