Firewall (брандмауэр) в MikroTik – это инструмент, который позволяет фильтровать, перенаправлять и контролировать сетевой трафик с помощью правил для фильтрации пакетов по различным параметрам, используя цепочки (Input, Forward, Output) и правила «Если-То», что делает его универсальным инструментом для безопасности и настройки сети любого масштаба Фаервол используется для защиты сети от несанкционированного доступа, ограничения доступа к определенным ресурсам и балансировки нагрузки.

Основные принципы работы Firewall в MikroTik

Фильтрация трафика осуществляется с помощью правил в разделе IP -> Firewall -> Filter Rules. Правила обрабатываются сверху вниз, и как только пакет соответствует какому-либо правилу, дальнейшая обработка может быть остановлена.

— Основные параметры:Chain (цепочка) – определяет, для какого трафика применяется правило.

input – для входящего трафика (доступ к самому MikroTik).

output – для исходящего трафика от MikroTik.

forward – для трафика, проходящего через роутер (LAN <-> WAN)

— Src. Address / Dst. Address – исходный и целевой IP-адрес.

— Protocol – тип протокола (TCP, UDP, ICMP и др.).

— Src. Port / Dst. Port – порты источника и назначения.

— In. Interface / Out. Interface – входящие и исходящие интерфейсы.

— Action – действие над пакетом (accept, drop, reject и др.).

Основные настройки защиты сети

1. Запрещаем доступ к роутеру из интернета

Чтобы заблокировать несанкционированный доступ к самому MikroTik:

1) Заходим в IP -> Firewall -> Filter Rules.

2) Создаем новое правило (+):

Chain: input

In. Interface: WAN (интерфейс с интернетом)

Action: drop

Comment: «Block external access

2. Разрешаем доступ к роутеру только с локальной сети

Добавим правило, которое разрешает доступ с внутренней сети:

1. Chain: input
2. Src. Address: 192.168.1.0/24 (локальная сеть)
3. Action: accept
4. Comment: «Allow local access»

3. Защита от пинга (ICMP-флуд)

Атакующие могут перегружать ваш роутер частыми ICMP-запросами. Чтобы ограничить частоту пингов:

1. Chain: input
2. Protocol: icmp
3. Action: accept
4. Advanced -> Limit: 5,5 (не более 5 пакетов в секунду)
5. Comment: «Limit ICMP requests»

4. Открытие порта для определенной службы

Если нужно разрешить доступ к определенному сервису, например, к веб-серверу (порт 80):

1. Chain: forward
2. Dst. Port: 80
3. Protocol: tcp
4. In. Interface: WAN
5. Dst. Address: 192.168.1.100 (IP веб-сервера)
6. Action: accept
7. Comment: «Allow HTTP access»

5. Блокировка всех остальных подключений

Чтобы закрыть все нежелательные подключения после разрешающих правил, добавьте следующее правило:

1. Chain: forward
2. Action: drop
3. Comment: «Block all other traffic»

Проверка работы Firewall

Проверить работу можно с помощью логирования трафика:

1. Открываем IP -> Firewall -> Filter Rules.
2. Выбираем нужное правило.
3. Включаем Log (журналирование).
4. Заходим в Log (System -> Log) и анализируем записи.