فایروال RouterOS بر پایهٔ زنجیره‌ها (chains) و وضعیت اتصال کار می‌کند. در این مقاله ساختار آن را می‌شناسیم و چند قانون کاربردی می‌نویسیم.
سه زنجیرهٔ اصلی
| زنجیره | کاربرد |
|---|---|
| input | ترافیکی که مقصد آن خودِ روتر است |
| forward | ترافیکی که از روتر عبور می‌کند (LAN به اینترنت و برعکس) |
| output | ترافیکی که از خود روتر خارج می‌شود |
وضعیت اتصال (Connection State)
به‌جای بازنویسی قوانین برای هر بسته، از وضعیت اتصال استفاده کنید تا بتوانید اتصال‌های برقرارشده را مجاز کنید.
/ip firewall filter add chain=forward action=accept connection-state=established,related comment="established"
/ip firewall filter add chain=forward action=drop connection-state=invalid comment="invalid"قوانین ورودی (Input)
دسترسی مدیریت به روتر را فقط از شبکهٔ داخلی مجاز کنید.
/ip firewall filter add chain=input action=accept connection-state=established,related
/ip firewall filter add chain=input action=accept in-interface=bridge1
/ip firewall filter add chain=input action=dropقوانین عبور (Forward)
اجازهٔ خروج ترافیک داخلی به سمت اینترنت و رد بقیه.
/ip firewall filter add chain=forward action=accept in-interface=bridge1 out-interface=ether1
/ip firewall filter add chain=forward action=dropمقابله با تلاش‌های مکرر ورود
می‌توانید آدرس‌های پرخط را در فهرست (address-list) قرار دهید و بعداً آن‌ها را مسدود کنید.
/ip firewall address-list add list=ssh-blacklist address=198.51.100.7
/ip firewall filter add chain=input action=drop protocol=tcp dst-port=22 src-address-list=ssh-blacklistهشدار: قاعدهٔ drop نهایی را پیش از آزمون، به‌تنهایی اعمال نکنید. ابتدا قاعده‌ای برای پذیرش اتصال مدیریتی خود اضافه کنید و از رابط محلی به‌روزرسانی انجام دهید.
جمع‌بندی: فایروال خوب یعنی ترتیب منطقی: پذیرش اتصال‌های برقرار، مجازکردن شبکهٔ داخلی و رد صریح بقیه.