《mikrotik routeros 应用实例讲解》由会员分享，可在线阅读，更多相关《mikrotik routeros 应用实例讲解（60页珍藏版）》请在金锄头文库上搜索。
1、首页 关于方案工具下载路由产品无线应用技术资料代理商汇款方式MikroTik RouterOS应用事例讲解 导航：防火墙配置规则防火墙Tracking设置双线备份自动切换配置源地址双线应用配置端口策略路由配置透明传输整形器配置电信网通流量控制动态流量控制PPTP借线配置Hotspot服务器配置PPPoE服务器配置EoIP隧道配置User Manager操作配置Webbox配置无线网络PPTP远程办公互联配置1 : 1 NAT实例防火墙规则下面是三条预先设置好了的chains，他们是不被能删除的： input 用于处理进入路由器的数据包，即数据包目标IP地址是到达路由器一个接口的IP地址，经过路
2、由器的数据包不会在input-chains处理。 forward 用于处理通过路由器的数据包 output 用于处理源于路由器并从其中一个接口出去的数据包。 他们具体的区别如下：当处理一个chain（数据链），策略是从chain列表的顶部从上而下执行的。如果一个数据包满足策略的条件，这时会执行该操作。我们来看看防火墙过滤原则：现在我来看事例中的防火墙规则：我先从input链表开始，这里是对所有访问路由的数据进行过滤和处理：从input链表的第一条开始执行，这里一共有三条规则：0 ; 接受你信任的IP地址访问(src-address=填写信任IP,默认允许任何地址) chain=input sr
3、c-address=192.168.100.2 action=accept 1 ; 丢弃非法连接 chain=input connection-state=invalid action=drop 2 ; 丢弃任何访问数据 chain=input action=drop下面是forward链表forward链表，一共有7条规则，包括两个跳转到自定义链表ICMP和virus链表：0 ; 接受已建立连接的数据 chain=forward connection-state=established action=accept 1 ; 接受相关数据 chain=forward connection-sta
4、te=related action=accept 2 ; 丢弃非法数据包 chain=forward connection-state=invalid action=drop 3 ; 限制每个主机TCP连接数为80条 chain=forward protocol=tcp connection-limit=80,32 action=drop 4 ; 丢弃掉所有非单播数据 chain=forward src-address-type=!unicast action=drop 5 ; 跳转到ICMP链表 chain=forward protocol=icmp action=jump jump-tar
5、get=ICMP 6 ; 跳转到病毒链表 chain=forward action=jump jump-target=virusforward工作过程如下：在自定义链表ICMP中，是定义所有ICMP（Internet控制报文协议），ICMP经常被认为是IP层的一个组成部分。它传递差错报文以及其他需要注意的信息。ICMP报文通常被IP层或更高层协议（TCP或UDP）使用。例如：ping、traceroute、trace TTL等。我们通过ICMP链表来过滤所有的ICMP协议：ICMP链表操作过程：0 ; Ping应答限制为每秒5个包 chain=ICMP protocol=icmp icmp-o
6、ptions=0:0-255 limit=5,5 action=accept 1 ; Traceroute限制为每秒5个包 chain=ICMP protocol=icmp icmp-options=3:3 limit=5,5 action=accept 2 ; MTU线路探测限制为每秒5个包 chain=ICMP protocol=icmp icmp-options=3:4 limit=5,5 action=accept 3 ; Ping请求限制为每秒5个包 chain=ICMP protocol=icmp icmp-options=8:0-255 limit=5,5 action=acce
7、pt 4 ; Trace TTL限制为每秒5个包 chain=ICMP protocol=icmp icmp-options=11:0-255 limit=5,5 action=accept 5 ; 丢弃掉任何ICMP数据 chain=ICMP protocol=icmp action=drop在virus链表中过滤常见的病毒，我可以根据需要在该链表中添加新的病毒对他们做过滤：Tracking设置这里我们可以设置是否启用tracking连接跟踪，以及TCP、UDP和ICMP等协议的timeout时间，和TCP-syncookie设置，RouterOS在2.9.16中增加了TCP-syncook
8、ie参数。在使用NAT时需要启用Tracking连接跟踪，如果你的RouterOS没有使用NAT（如在使用bridge模式下），可以选择关闭tracking，降低系统资源。SYN Cookie原理SYN Flood是一种非常危险而常见的DoS攻击方式。到目前为止，能够有效防范SYN Flood攻击的手段并不多，而SYN Cookie就是其中最著名的一种SYN Cookie是对TCP服务器端的三次握手协议作一些修改，专门用来防范SYN Flood攻击的一种手段。它的原理是，在TCP服务器收到TCP SYN包并返回TCP SYN+ACK包时，不分配一个专门的数据区，而是根据这个SYN包计算出一个c
9、ookie值。在收到TCP ACK包时，TCP服务器在根据那个cookie值检查这个TCP ACK包的合法性。如果合法，再分配专门的数据区进行处理未来的TCP连接。事例操作双线备份自动切换配置RouterOS 2.9中路由规则增加的两点功能：1、在RouterOS 2.9路由规则中增加了check-gateway的功能，能检测到网关的线路状态，如果网关无法探测到，便认为网关无法连接，会自动禁止访问网关的数据通过，check-gateway功能的探测时间为10s一个周期。2、在RouterOS 2.9中具备了对缺省网关的判断，在RouterOS 2.9的任何一个路由表中只能存在一个缺省网关，即到
10、任何目标地址为0.0.0.0/0，没有做路由标记（routing-mark）的规则,如果存在另一个缺省网关则认为是错误，路由将不予以执行。如下图：从上图我们可以看到，所有访问电信的IP段从10.200.15.1出去，其他的数据走网通的缺省网关出去，在我们可以这些网关的前缀都为“AS”，即确定的静态路由，而在第二排可以看到蓝色一行，他也是一个缺省网关，但因为一个路由表中只能存在一个缺省网关，所有前缀为“S”即静态但不确定的网关，被认为位非法的。如果当202.112.12.12.11网关断线，则10.200.15.1会自动启用，变为缺省路由，实现现在的切换，如下：当202.112.12.11断线后
11、，check-gateway在10s一个周期后探测到，并将10.200.15.11设置为缺省路由，如果202.112.12.11正常后，系统也将会将202.112.12.11设置为缺省路由，因为他是先于10.200.15.1添加入路由表中。源地址双线应用案例这是一个典型的通过一个路由器并使用两条ISP线路接入的环境（比如都是两条电线的ADSL或者LAN接入）： 当然，你可以选择负载均衡！这里有多种方法可以选择，只是根据你的环境，选择最适合你解决方案。 基于用户端IP地址的策略路由 如果你有很多的主机地址，你可以通过IP地址将他们分组。这时，指定源IP地址，发送的传输通过ISP1或者ISP2的网
12、关出去。 让我们假设终端电脑的网络地址段为192.168.100.0/24，IP分配如下： 192.168.100.1-127分配到A组 192.168.100.128-253 分配到B组 192.168.100.254路由器本地IP地址（即内网的网关） 现在，我们通过子网划分的方式，将终端电脑进行分组： A组为192.168.100.0/25，地址范围：192.168.100.0-127 B组为192.168.100.128/25，地址范围：192.168.100.128-255 如果你不能理解，请你查阅TCP/IP的相关教材或通过网上查找相关的子网划分资料！我们需要添加两个ip firew
13、all mangle的规则，标记来至A组和B组终端电脑的数据包。 定义A组：链表为chain=prerouting，源地址：src-address=192.168.100.0/25 操作为Action=mark routing并定义新的路由标记GroupA. 最好做一个注释，以便以后便于你自己或者别人查看和处理。 定义B组： 链表为chain=prerouting，源地址：src-address=192.168.100.128/25 操作为Action=mark routing并定义新的路由标记GroupB 所有来至终端电脑的IP传输都通过路由标记为GroupA或者GroupB。这样我们可以标
14、记到路由表中（routing table）。 下面，我们需要定义两个默认路给相应的路由标记和网关：到这里，如果你没有对路由器做NAT的伪装，请在/ip firewall nat里添加src- Address=192.168.100.0/24 action=masquerade,在终端电脑上测试一下跟踪路由是否正确定义两个分组的默认路由： A组测试如下情况： C:tracert -d 8.8.8.8Tracing route to 8.8.8.8 over a maximum of 30 hops 1 2 ms 2 ms 2 ms 192.168.100.254 2 10 ms 4 ms 3 ms 10.1.0.1 .B组测试如下情况： C:tracert -d 8.8.8.8Tracing route to 8.8.8.8 over a maximum of 30 hops 1 2 ms 2 ms 2 ms 192.168.100.254 2 10 ms 4 ms 3 m
