Mikrotik IPv4/IPv6 firewall

[deniSun]

Αφού έστησα και εγώ με τη σειρά μου Ipv6 στο mikrotik έκανα ένα τεστ εδώ και μου έβγαλε το παρακάτω:

Συνημμένο Αρχείο 189302

Οι ρυθμίσεις στο fw είναι με βάση τον οδηγό του denisun:

Spoiler:

/ipv6 firewall filter
add chain=input connection-state=established comment="Accept input established connections"
add chain=input connection-state=related comment="Accept input related connections"
add chain=input connection-state=invalid action=drop comment="______Drop input invalid connections"
add chain=forward connection-state=established comment="Allow forward forward established connections"
add chain=forward connection-state=related comment="Allow forward related connections"
add chain=forward connection-state=invalid action=drop comment="______Drop forward invalid connections"

add chain=input dst-port=546 protocol=udp comment="Allow input DHCPv6 client"
add chain=input protocol=icmpv6 limit=50/5s,5 comment="Allow input ICMPv6"
add chain=forward protocol=icmpv6 limit=50/5s,5 comment="Allow forward ICMPv6"
add chain=input in-interface=!internet comment="Allow all input from LAN"
add chain=forward in-interface=!internet comment="Allow all forward from LAN"

add chain=input action=drop comment="Drop input everything else"
add chain=forward action=drop comment="Drop forward everything else"

Κάποια ιδέα μήπως έχω στήσει κάτι λάθος?

Δεν έχει σχέση με το fw του ΜΤ αλλά με των win.

[jkarabas]

Καλημέρα
Ναι έχεις δίκιο, το ψάχνω μήπως βρω κάποια λύση.

- - - Updated - - -

Denisun μπορείς να κάνεις ένα printout τα τελικά ip4 firewall και ipv6 που έχεις να τα μελετήσω?

[deniSun]

Καλημέρα
Ναι έχεις δίκιο, το ψάχνω μήπως βρω κάποια λύση.

- - - Updated - - -

Denisun μπορείς να κάνεις ένα printout τα τελικά ip4 firewall και ipv6 που έχεις να τα μελετήσω?

Δεν χρειάζεται να ψάχνεις.
Είναι απλό:

*** Allow ICMPv6 echo ping requests
	Windows Firewall > Advanced settings > Inbound rules > New rule > custom rule (next)
		Protocol and ports: Protocol: ICMPv6 
		customize: Specific ICMP types: echo request

[jkarabas]

Δεν χρειάζεται να ψάχνεις.
Είναι απλό:

*** Allow ICMPv6 echo ping requests
	Windows Firewall > Advanced settings > Inbound rules > New rule > custom rule (next)
		Protocol and ports: Protocol: ICMPv6 
		customize: Specific ICMP types: echo request

Εάν όμως έχεις firewall άλλο και όχι των windows? Κάνεις το ίδιο rule και σε αυτό σωστά?

Στείλε και τα ip4 firewall και ipv6 που έχεις να τα μελετήσω με την ευκαιρία.

[deniSun]

*** Create IPv6 firewall filters
/ipv6 firewall filter
	add action=accept chain=input comment=\
		"Accept input established, related connections" connection-state=\
		established,related
	add action=drop chain=input comment="______Drop input invalid connections" \
		connection-state=invalid
	add action=accept chain=forward comment=\
		"Allow forward forward established, related connections" \
		connection-state=established,related	
	add action=drop chain=forward comment=\
		"______Drop forward invalid connections" connection-state=invalid
	
	add action=accept chain=input comment="Allow input DHCPv6 client" dst-port=\
		546 protocol=udp
	add action=accept chain=input comment="Allow input ICMPv6" limit=\
		5/5s,5:packet protocol=icmpv6
	add action=accept chain=forward comment="Allow forward ICMPv6" limit=\
		5/5s,5:packet protocol=icmpv6
	add action=accept chain=input comment="Allow all input from LAN" \
		in-interface=!all-ppp
	add action=accept chain=forward comment="Allow all forward from LAN" \
		in-interface=!all-ppp
	
	add action=drop chain=input comment="Drop input everything else"
	add action=drop chain=forward comment="Drop forward everything else"

[jkarabas]

Περιμένω export και το ip4 firewall
Το interface=!all-ppp είναι το ppoe client σου? Το όνομα που έχεις δώσει?

- - - Updated - - -

Ρύθμισα και το fw του Kaspersky που έχω έκανα το τεστ και όλα καλά.

Το παρακάτω είναι λογικό που δεν παίρνω DNS?

[deniSun]

Περιμένω export και το ip4 firewall
Το interface=!all-ppp είναι το ppoe client σου? Το όνομα που έχεις δώσει?

- - - Updated - - -

Ρύθμισα και το fw του Kaspersky που έχω έκανα το τεστ και όλα καλά.

Το παρακάτω είναι λογικό που δεν παίρνω DNS?

Ο ΟΤΕ δεν έχει κάνει register τις ν6 διευθύνσεις του.

[jkarabas]

Ο ΟΤΕ δεν έχει κάνει register τις ν6 διευθύνσεις του.

- - - Updated - - -

Αυτό που έχεις εδώ για το ip4 firewall ισχύουν ή έχεις αλλάξει κάτι?

[deniSun]

- - - Updated - - -

Αυτό που έχεις εδώ για το ip4 firewall ισχύουν ή έχεις αλλάξει κάτι?

Ισχύουν.
Το openvpn δεν το χρειάζεσαι αν δεν το χρησιμοποιείς.

[jkarabas]

Ισχύουν.
Το openvpn δεν το χρειάζεσαι αν δεν το χρησιμοποιείς.

Βασικά έχω SSTP Και Openvpn server τα χρησιμοποιώ.


Καλημέρα πέρασα τελικά τα filter rules στο firewall του mikrotik του denisun, αλλά δεν έχω πρόσβαση πλέον από την cloud ip στο mikrotik.
Υπάρχει κάποιος τρόπος στα filter rules να προσθέσω αποκλειστικά για αυτήν την cloud ip να περνάνε τα connection?

- - - Updated - - -

Εάν κάνω disable το add action=drop chain=input comment="Drop input everything else" τότε μπαίνω αλλά ίσως να μην είναι σωστή η κίνηση.

[macro]

To drop everything else δε το κλεινεις για κανενα λογο παρα μονο για δοκιμες.

Η πορτα η οποια μιλαει το ipcloud ειναι η udp 15252

chain=input action=accept protocol=udp in-interface=pppoe-out1 src-port=15252

[teodor_ch]

Η οποία δε χρειάζεται άνοιγμα αφού έχουμε ήδη αφήσει τις εξερχόμενες και τις established, related εισερχόμενες.

λέει ότι δεν έχει πρόσβαση στο ΜΚ οπότε δεν έχει ανοίξει τη πόρτα που χρειάζεται προφανώς

[jkarabas]

Δεν δουλεύει παιδιά ούτε με άνοιγμα πόρτας αλλά ούτε με το rule του macro

[macro]

Βαλε το κανονα πρωτο και ξαναδεστο.

[deniSun]

Βασικά έχω SSTP Και Openvpn server τα χρησιμοποιώ.


Καλημέρα πέρασα τελικά τα filter rules στο firewall του mikrotik του denisun, αλλά δεν έχω πρόσβαση πλέον από την cloud ip στο mikrotik.
Υπάρχει κάποιος τρόπος στα filter rules να προσθέσω αποκλειστικά για αυτήν την cloud ip να περνάνε τα connection?

- - - Updated - - -

Εάν κάνω disable το add action=drop chain=input comment="Drop input everything else" τότε μπαίνω αλλά ίσως να μην είναι σωστή η κίνηση.

Σε τι πρόσβαση αναφέρεσαι;
Από έξω με winbox στο ΜΤ;