Mikrotik IPv4/IPv6 firewall

[deniSun]

1. Το drop στα dns δεν το χρειάζεσαι.
Θα σε καλύψει το drop στο τέλος.
Από την στιγμή που δεν έχεις κάπου accept για αυτά τα πακέτα, θα τα μαζεύει στο τέλος το drop.
2. Τα drop στα !dstnat για τα all-ppp, δεν ξέρω τι μαζεύουν και από που.
Λογικά αν τα βγάλεις, θα πέφτουν στα δύο γενικά drop στο τέλος.
3. Το jump στο icmp... γιατί;

[macro]

1) Το δοκιμαζω να το κλεισω και αυτο για τα dns. Ειναι λογικο αυτο που λες.

2) Για αυτο το κανονα δεν ειμαι και πολυ σιγουρος. Τον ειχα απο τα πρωτα σεταπ που ειχα κανει. Καπου ειχαμε συζητησει και με το theodor ενα θεμα που ειχαμε και οταν το βαζαμαi ηταν οκ. Δε πολυθυμαμαι να σου πω. Ειναι πολλα ποστς πισω. Μιλαμε για το drop all from wan not destinated που εχω προτελευταιο input-forward ετσι? Θα το κλεισω και αυτο και βλεπουμε.

Και βλεπω αμεσως περισοτερα πακετα στο τελευταιο drop everything else.

3) jump στο icmp το εχω βαλει επειδη δε θελω να ειναι εντελως ανοιχτο αλλα να κανει μονο συγκεκριμενα πραγματα. Αυτο δε το βγαζω αν δε μου πεις καποια καλυτερη λυση. Δε θελω να ειναι accept ολο το icmp.

Κατι ακομη που δε ξερω αν μπορει να σχολιαστει ειναι οτι εχω συμπληρωσει αλλον εναν drop invalid forward, ακριβως κατω απο το accept torrents forwards, 5ος κανονας αν δε κανω λαθος. Δλδ εβαλα και drop invalid forward μετα τα accept established forward ο οποιος γραφει πακετα. Drop input εχω 2ρο κανονα.

Υ.Γ

Τωρα που ξανασκεφτομαι τη λογικη σου, ουτε το drop invlaid που βαζουμε πανω μετα το accept established, χρειαζεται να υπαρχουν. Λογικα θα πεφτουν το drop everything else στο τελος ολα αυτα. Ετσι δεν ειναι?


Κλεινοντας ομω το drop invalid forward δε βλεπω να γραφει το drop everything else forward. Αρα κατι μας ξεφευγει.

[deniSun]

1) Το δοκιμαζω να το κλεισω και αυτο για τα dns. Ειναι λογικο αυτο που λες.

2) Για αυτο το κανονα δεν ειμαι και πολυ σιγουρος. Τον ειχα απο τα πρωτα σεταπ που ειχα κανει. Καπου ειχαμε συζητησει και με το theodor ενα θεμα που ειχαμε και οταν το βαζαμαi ηταν οκ. Δε πολυθυμαμαι να σου πω. Ειναι πολλα ποστς πισω. Μιλαμε για το drop all from wan not destinated που εχω προτελευταιο input-forward ετσι? Θα το κλεισω και αυτο και βλεπουμε.

Και βλεπω αμεσως περισοτερα πακετα στο τελευταιο drop everything else.

3) jump στο icmp το εχω βαλει επειδη δε θελω να ειναι εντελως ανοιχτο αλλα να κανει μονο συγκεκριμενα πραγματα. Αυτο δε το βγαζω αν δε μου πεις καποια καλυτερη λυση. Δε θελω να ειναι accept ολο το icmp.

Κατι ακομη που δε ξερω αν μπορει να σχολιαστει ειναι οτι εχω συμπληρωσει αλλον εναν drop invalid forward, ακριβως κατω απο το accept torrents forwards, 5ος κανονας αν δε κανω λαθος. Δλδ εβαλα και drop invalid forward μετα τα accept established forward ο οποιος γραφει πακετα. Drop input εχω 2ρο κανονα.

Υ.Γ

Τωρα που ξανασκεφτομαι τη λογικη σου, ουτε το drop invlaid που βαζουμε πανω μετα το accept established, χρειαζεται να υπαρχουν. Λογικα θα πεφτουν το drop everything else στο τελος ολα αυτα. Ετσι δεν ειναι?


Κλεινοντας ομω το drop invalid forward δε βλεπω να γραφει το drop everything else forward. Αρα κατι μας ξεφευγει.

2. Ναι.
3. Τον περιορισμό του icmp τον κάνεις παρακάτω με τα icmp-options.
Το jump τι το θέλεις;
Ο περιορισμός χρειάζεται στο ν6.
Στο ν4 δεν τον κρίνω απαραίτητο.

ΥΓ
Όχι.
Για να φτάσει να ελεγχθεί ο τελευταίος κανόνας με τα drop θα πρέπει να περάσει από όλους τους παραπάνω.
Οπότε αν για οποιοδήποτε λόγο γίνει δεκτός από κάποιον άλλον κανόνα δεν θα φτάσει στα drop.
Εμείς θέλουμε ότι δεν γίνεται established να πέφτει αμέσως χωρίς να ελέγχονται οι υπόλοιποι κανόνες.
Και από θέμα ταχύτητας, εκτός της ασφάλειας, είναι απαραίτητο να μπούνε αυτά τα drop στην αρχή μετά τα ανάλογα accept.

[macro]

Αν δε βαλω τα jumps δε μου πιανει πακετα στο icmp rules

[deniSun]

Αν δε βαλω τα jumps δε μου πιανει πακετα στο icmp rules

Αν το βάλεις μετά το drop του Accept forward established,related θα σου πιάνει.

[macro]

Το πρωτο πραγμα που δοκιμασα ηταν αυτο, δε δουλευει χωρις το chain. Μονο με το chain στη θεση που λες δουλευει. Αλλιως κανω ping απεξω στη wan ip μου και εχω time outs, και ολα τα αλλα δε γραφουν τπτ.

[deniSun]

Το πρωτο πραγμα που δοκιμασα ηταν αυτο, δε δουλευει χωρις το chain. Μονο με το chain στη θεση που λες δουλευει. Αλλιως κανω ping απεξω στη wan ip μου και εχω time outs, και ολα τα αλλα δε γραφουν τπτ.

Γιατί δεν το βάζεις τότε εκεί που σου είπα για να γλυτώσεις και την επιπλέον δήλωση και διαδικασία από το ΜΤ;

[teodor_ch]

2) Για αυτο το κανονα δεν ειμαι και πολυ σιγουρος. Τον ειχα απο τα πρωτα σεταπ που ειχα κανει. Καπου ειχαμε συζητησει και με το theodor ενα θεμα που ειχαμε και οταν το βαζαμαi ηταν οκ. Δε πολυθυμαμαι να σου πω. Ειναι πολλα ποστς πισω. Μιλαμε για το drop all from wan not destinated που εχω προτελευταιο input-forward ετσι? Θα το κλεισω και αυτο και βλεπουμε.

Αυτός ο κανόνας ΔΕΝ σου ακυρώνει το NAT (dst-nat).
Ή θα πρέπει να βάλεις άλλον για να στο επιτρέπει πρίν τον drop all others.

[macro]

Λοιπον deni...... σου εξηγω οτι το εχω δοκιμασει ετσι οπως μου λες και σαν αποτελεσμα εχω, οτι μπορω να κανω και να μου κανουν ping αλλα δε γραφουν τα πακετα του echo reply-request που αυτο σημαινει οτι ειναι εντελως ανοιχτο το icmp που δε το θελω ετσι. Εν ολιγοις ολα τα πακετα σε ολους αυτους τους κανονες ειναι 0 παντα με το τροπο που μου λες εσυ. Πιθανον επειδη περνανε ολα απο το πρωτο κανονα του accept icmp. Αν το κλεισω αυτον ομως δε μου κανουν ping απεξω.


Theodor........

Λοιπον διαβασα λιγα πραγματα για αυτο το κανονα.
Αυτος ο κανονας δεν ειναι για να σου ακυρωνει το ΝΑΤ, αλλα για να σου ριχνει οτιδηποτε κυκλοφορει forward και δεν ειναι ΝATed. Για αυτο λοιπον τον θεωρω απαραιτητο, μπαινει πανω απο το drop everything και ειναι ψιλοmust μιας και δεν ειμαι σιγουρος οτι τα κοβει το drop everything αν δε τον βαλεις. Δηλωνεται σαν μονο forward και οχι και input.

Εν ολοιγις για να ειμαι σιγουρος δεν εκανα τελικα καμια αλλαγη και ειμαι οπως αυτο που ποσταρα. Για να εχω το κεφαλι μου ησυχο. Ας ειναι και σα διπλη πορτα ασφαλεις εν τελει. Σιγα για εναν κανονα τωρα

[deniSun]

Λοιπον deni...... σου εξηγω οτι το εχω δοκιμασει ετσι οπως μου λες και σαν αποτελεσμα εχω, οτι μπορω να κανω και να μου κανουν ping αλλα δε γραφουν τα πακετα του echo reply-request που αυτο σημαινει οτι ειναι εντελως ανοιχτο το icmp που δε το θελω ετσι. Εν ολιγοις ολα τα πακετα σε ολους αυτους τους κανονες ειναι 0 παντα με το τροπο που μου λες εσυ. Πιθανον επειδη περνανε ολα απο το πρωτο κανονα του accept icmp. Αν το κλεισω αυτον ομως δε μου κανουν ping απεξω.


Theodor........

Λοιπον διαβασα λιγα πραγματα για αυτο το κανονα.
Αυτος ο κανονας δεν ειναι για να σου ακυρωνει το ΝΑΤ, αλλα για να σου ριχνει οτιδηποτε κυκλοφορει forward και δεν ειναι ΝATed. Για αυτο λοιπον τον θεωρω απαραιτητο, μπαινει πανω απο το drop everything και ειναι ψιλοmust μιας και δεν ειμαι σιγουρος οτι τα κοβει το drop everything αν δε τον βαλεις. Δηλωνεται σαν μονο forward και οχι και input.

Εν ολοιγις για να ειμαι σιγουρος δεν εκανα τελικα καμια αλλαγη και ειμαι οπως αυτο που ποσταρα. Για να εχω το κεφαλι μου ησυχο. Ας ειναι και σα διπλη πορτα ασφαλεις εν τελει. Σιγα για εναν κανονα τωρα

Στο ν4 δεν έχω κανέναν περιορισμό στο icmp.
Στο ν6 έχω τα παρακάτω και δουλεύουν κανονικά:

add action=accept chain=input comment=\
		"Accept input established, related connections" connection-state=\
		established,related
	add action=drop chain=input comment="______Drop input invalid connections" \
		connection-state=invalid
	add action=accept chain=forward comment=\
		"Allow forward forward established, related connections" \
		connection-state=established,related	
	add action=drop chain=forward comment=\
		"______Drop forward invalid connections" connection-state=invalid
	
	add action=accept chain=input comment="Allow input DHCPv6 client" dst-port=\
		546 protocol=udp
	add action=accept chain=input comment="Allow input ICMPv6" limit=\
		5/5s,5:packet protocol=icmpv6
	add action=accept chain=forward comment="Allow forward ICMPv6" limit=\
		5/5s,5:packet protocol=icmpv6
	add action=accept chain=input comment="Allow all input from LAN" \
		in-interface=!all-ppp
	add action=accept chain=forward comment="Allow all forward from LAN" \
		in-interface=!all-ppp
	
	add action=drop chain=input comment="Drop input everything else"
	add action=drop chain=forward comment="Drop forward everything else"

[macro]

Λοιπον deni οσων αφορα τους 2 κανονες των drops οντως τους πιανει το drop everything else στο τελος και τους εσβησα. Ειχες δικιο σε αυτο.

Στο ipv4 οταν εννοεις οτι δεν εχεις περιορισμο σημαινει οτι το εχεις ελευθερο εντελως? Ή δε σου κανουν καθολου ping απ' εξω? Κλειστο δλδ. Μαλλον εντελως κλειστο το εχεις που αυτο δεν ειναι και οτι καλυτερο.

Ασχετο λιγο αλλα γιατι δηλωνεις dst port=546 udp? Δε το γνωριζω αυτο.

Στο δικο μου σεταπ κατω απο το drop-forward invalid δε μου δουλευει τπτ. Μονο κατω απο το drop-input invalid μου δουλευει και μονο αν εχω το chain τα πακετα γραφουν. Αν σταματησω το chain και τα βαλω ολα κατω απο το drop-input invalid, δουλευει μονο το allow icmp και ολα τα αλλα δε γραφουν καθολου. Προφανως γιατι αφου τα αφηνω με το allow icmp φευγουν ετσι και τα απο κατω τους rules ειναι σα να μην υπαρχουν μετα απο αυτο.

[deniSun]

Λοιπον deni οσων αφορα τους 2 κανονες των drops οντως τους πιανει το drop everything else στο τελος και τους εσβησα. Ειχες δικιο σε αυτο.

Στο ipv4 οταν εννοεις οτι δεν εχεις περιορισμο σημαινει οτι το εχεις ελευθερο εντελως? Ή δε σου κανουν καθολου ping απ' εξω? Κλειστο δλδ. Μαλλον εντελως κλειστο το εχεις που αυτο δεν ειναι και οτι καλυτερο.

Ασχετο λιγο αλλα γιατι δηλωνεις dst port=546 udp? Δε το γνωριζω αυτο.

Στο δικο μου σεταπ κατω απο το drop-forward invalid δε μου δουλευει τπτ. Μονο κατω απο το drop-input invalid μου δουλευει και μονο αν εχω το chain τα πακετα γραφουν. Αν σταματησω το chain και τα βαλω ολα κατω απο το drop-input invalid, δουλευει μονο το allow icmp και ολα τα αλλα δε γραφουν καθολου. Προφανως γιατι αφου τα αφηνω με το allow icmp φευγουν ετσι και τα απο κατω τους rules ειναι σα να μην υπαρχουν μετα απο αυτο.

Δεν βλέπω κανέναν λόγο ύπαρξης/επιτροπής του icmp στο ν4.
Για αυτό και το έχω ολόκληρο κλειστό.
Αντιθέτως στο ν6 προτείνεται από τις διάφορες υλοποιήσεις του να είναι ανοικτό (εν μέρη).
Το 546 αφορά το dhcpv6.

[puntomania]

Θέλω την βοήθεια σας.....

έχω στο μικροτικ λαν1 (ιντερνετ) την 192.168.0.2 (192.168.0.0/24) και στην λαν2 192.168.3.1 (192.168.3.0/24)

θέλω 4 συσκευές από την λαν2 ( 192.168.3.10-192.168.3.13) να έχουν πρόσβαση στο δικτυο που βρίσκετε πίσω απο την λαν1 192.168.0.0/24, και όλες οι άλλες να κόβονται, δοκίμασα το παρακάτω... άλλα δεν μου δουλεύει!

[teodor_ch]

exclude exclude exclude = κάτι δεν κάνεις σωστά!

για δοκίμασε ένα κανόνα forward accept from 192.168.3.10-192.168.3.13 το ether2

και απο κάτω drop from ether1 to ether2

κάτι τέτοιο

[puntomania]

exclude exclude exclude = κάτι δεν κάνεις σωστά!

για δοκίμασε ένα κανόνα forward accept from 192.168.3.10-192.168.3.13 το ether2

και απο κάτω drop from ether1 to ether2

κάτι τέτοιο

Κάνω exclude....αυτά που θέλω να περνάνε