Ejemplos básicos Router protección

Ejemplos básicos

Router protección

Digamos que nuestra red es 192.168.0.0/24 privado y público (WAN) de la interfaz es Ether1. Vamos a establecer cortafuegos para permitir conexiones a sí mismo router sólo de nuestra red local y dejar el resto. También vamos a permitir el protocolo ICMP en cualquier interfaz para que cualquier persona puede hacer ping el router desde Internet.

/ip firewall filter

add chain=input connection-state=invalid action=drop \comment="Drop Invalid connections"

add chain=input connection-state=established action=accept\comment="Allow Established connections"

add chain=input protocol=icmp action=accept \comment="Allow ICMP"

add chain=input src-address=192.168.0.0/24 action=accept \in-interface=!ether1

add chain=input action=drop comment="Drop everything else

Protección del cliente

Para proteger la red del cliente, debemos comprobar que todo el tráfico que pasa a través del router y el bloque deseado. Para icmp, tcp, udp tráfico vamos a crear cadenas, donde se droped todos los paquetes no deseado

/ip firewall filter

add chain=forward protocol=tcp connection-state=invalid \

action=drop comment="drop invalid connections"

add chain=forward connection-state=established action=accept \

comment="allow already established connections"

add chain=forward connection-state=related action=accept \

comment="allow related connections"

Bloquear "Bogon" direcciones IP

add chain=forward src-address=0.0.0.0/8 action=drop

add chain=forward dst-address=0.0.0.0/8 action=drop

add chain=forward src-address=127.0.0.0/8 action=drop

add chain=forward dst-address=127.0.0.0/8 action=drop

add chain=forward src-address=224.0.0.0/3 action=drop

add chain=forward dst-address=224.0.0.0/3 action=drop

Haz saltos a nuevas cadenas:

add chain=forward protocol=tcp action=jump jump-target=tcp

add chain=forward protocol=udp action=jump jump-target=udp

add chain=forward protocol=icmp action=jump jump-target=icmp

Crear una cadena tcp y negar algunos puertos tcp en ella:

add chain=tcp protocol=tcp dst-port=69 action=drop \

comment="deny TFTP"

add chain=tcp protocol=tcp dst-port=111 action=drop \

comment="deny RPC portmapper"

add chain=tcp protocol=tcp dst-port=135 action=drop \

comment="deny RPC portmapper"

add chain=tcp protocol=tcp dst-port=137-139 action=drop \

comment="deny NBT"

add chain=tcp protocol=tcp dst-port=445 action=drop \

comment="deny cifs"

add chain=tcp protocol=tcp

...