首页 » 技术讨论 » 正文

[转载]ROS防火墙过滤简介

RouterOS 通过ip firewall 能对IP数据包过滤、P2P协议过滤、源和目标IP、端口、IP协议、协议(ICMPTCPMSS等)、网络接口、对内部的数据包和连接作标记、ToS字节、内容过滤、顺序优先与数据频繁和时间控制、包长度控制
从数据传输上分类:分为inputforewardoutput三种链表(chain)过滤,不管是二层或者三层过滤上都包含这三个链表。RouterOS的防火墙包括了对address-listL7-protocol等调用
快速设置向导
添加一条firewall 规则,将所有通过路由器到目标协议为TCP,端口为135 的数据包丢弃掉:
拒绝通过Telnet 访问路由器(协议 TCP, 端口 23)
操作路径: /ip firewall filter
网络防火墙始终保持对那些有威胁敏感的数据进入内部网络中,无论怎样网络都是连接在一起的,总是会有某些从外闯入你的LAN,窃取资料和破坏内部网络。适当的配置防火墙可以有效的保护网络。
MikroTikRouterOS 是功能非常强大的防火墙,包括以下特征:
包过滤功能
P2P 协议过滤
7 层协议过滤
IPv6 防火墙过滤
数据传输分类:
o MAC 地址
o IP 地址(网段或列表)和地址类型(广播、本地、组播)
o 端口或端口长度
o IP 协议
o 协议选择选项(ICMP 类型和代码字段、TCP 标记、IP 选项和MSS)
o Interface 的数据包从那里到达或通过那里里去
o 内部数据流与连接标记
o ToS (DSCP)
o 数据包内容
o Connection-rate 连接速率
o PCC 分离器
o 数据包大小
o 包到达时间

 

基本过滤规则
防火墙操作是借助于防火墙的策略,一个策略规则是告诉路由器如何处理一个 IP 数据包,每一条策略都由两部分组成,一部份是传输状态配置和定义如何操作数据包。数据链(Chains)是为更好的管理和组织策略。
过滤功能有三个默认的数据链(chains):input, forward output 他们分别负责从哪里进入路由器的、通过路由器转发的与从路由器发出的数据。用户也可用自定义添加链,当然这些链没有默认的传输配置,需要在三条默认的链中对action=jump 策略中相关的jump-target 进行配置。
过滤链
下面是三条预先设置好了的 chains,他们是不被能删除的:
input 用于处理进入路由器的数据包,即数据包目标IP 地址是到达路由器一个接口的IP 地址,经过路由器的数
据包不会在input-chains 处理。
forward 用于处理通过路由器的数据包
output 用于处理源于路由器并从其中一个接口出去的数据包。
他们具体的区别如下:
IP 数据包进入input 链表的数据工作流程:
input
IP 数据包进入output 链表的流程:
output
IP 数据进入forward 链表的流程:
forward