《RouterOS防火墙与过滤详解要点》由会员分享，可在线阅读，更多相关《RouterOS防火墙与过滤详解要点（17页珍藏版）》请在金锄头文库上搜索。
1、RouterOS防火墙与过滤详解（一）MikroTik RouterOS 能对包状态过滤；P2P协议过滤；源和目标 NAT对源MACIP地址、端口、IP协议、协议（ICMR TCP MS骈）、接口、对内部的数据包 和连接作标记、ToS字节、内容过滤、顺序优先与数据频繁和时间控制、包长度 控制下面是RouterOS对IP流的处理流程：IP FlowOUTPUTConn TracingMartgleFittJfBRIDGEDST-NATtIHPUTlvBridgwlrINPUTINTERFACEPRE + ROUTINGBR|GEINPUTRgiHnig DKHihmINPUTJPSEC OECR
2、YPTfONBFwc PMcyFORWARDBRIDGE FORWARDFOfiMARDMm ng Ie Fitter Aeourtingpqstwmjting Mangle dcbal-Cul Queue Global Totil Queue Souftt-NAT H。14Poi OutputRoutingDcrt44nOUTPUTH RIDGEOUTPUTPOSTROUTINGPRERQUT1NG Holpc4 llnm ConrhTrftcking Mangftt Oat-NAT Globdhln Queue dcbflkTataJ QueRLOCALPROCESS-INLOCALPRO
3、CESS-OUTBRIDGE SRC-NAT00-12INPUTMangle F itlerJPSEC ENCRYPTIONPolicyMikrotikhit ptMww .mik rotikxo- idOUTPUT INTERFACEINTERFACEQUEUERouterOS防火墙类型MikroTik RouterOS具备强大的防火墙，根据不同的环境和类别我们可以把RouterOS的分未如下几个类型：从网络层上分类：分为二层过滤防火墙和三层与三层以上过滤防火墙，他们分别在bridge filter 和ip firewall filter下进行操作，能对各层的数据进行处RouterOS fi
4、rewall过滤数据链路展Bridge filter MACIP firewall filter网络层传输层应用层从数据传输上分类：分为input、foreward和output三种链表（chain）过滤, 不管是二层或者三层过滤上都包含这三个链表。WANforward 链表forward 槌表LAN同时RouterOS还支持自定义防火墙链表。如下面的 virus病毒链表。我们可以 通过jump命令将数据跳转到指定的链表。FirewallFilter Rules NAT HandleStrvi ce Ports C&rmeetieiiE Address ListsLayer? Frotoeol
5、x*iAction CK&in*drop forwardoo CounterjGO Rest AIL CowtME;跳转机器狗过域名滤规则2jump for* q d77丢弃非法数据包15Xdrop forward;:限制每个主机TCP连接数为30条ICMFRobatiag d.1 dynami c forward input output staticvirus16翼 dr op forward；丢弃掉所有非单播数据IT货 dr or forward;跳转到工C睚链表18tfc jump forward:跳转氢病毒槌表.jump forward；接受所有数据a. . . forward8 i
6、tems out of 174 (1 selected)上面的图片是显示了几个自定义链表，除了我们在右上角，下拉菜单看到的 input、forward、output 基本链表外（all、dynamic、static 是系统状态链表）,可以看到自定义的 Robotdog、ICMP virus 这三个链表RouterOS防火墙与过滤详解（二）RouterOS IP firewall filter工作原理下面是三条预先设置好了的chains,他们是不被能删除的：input -用于处理进入路由器的数据包，即数据包目标IP地址是到达路由器一个接口的IP地址，经过路由器的数据包不会在input-chain
7、s 处理。forward -用于处理通过路由器的数据包output -用于处理源于路由器并从其中一个接口出去的数据包。当处理一个chain （数据链），策略是从chain列表的顶部从上而下执行的。即先进先出法（First In First Out ）如图：firewall果用IK）（先迸先出法）假设一制IP改书包b.c. d., n规则】处理效用包剩下的数据2nb, c, 井对0地址处理剩下的u据包=他、dn规则3并对班址处理我们通过先进先出法可以理解到，过滤数据时我们可以通过以下的两种原则“先 丢弃后接受和先接受后丢弃”：防火堵过滤原则防火墙过谑原则现在我来看事例中的防火墙规则，我先从inp
8、ut链表开始，这里是对所有访问路 由的数据进行过滤和处理：从input链表中可以看到，我们对进入路由器的数据采用先拒绝非法的数据和连 接，并将ICMP数据跳转到自定义的ICMP的链表中过滤。下面是forward链表一个应用防火墙事例：forward链表，我们首先拒绝大多数机器狗访问的目标地址，然后跳转到机器狗 链表中对相应的域名和IP进行过滤，接下来是对非法数据包、TCP!接数、非 单播数据、ICMPB议和常见的病毒等进行过滤。事例：下面是禁止任何地址通过 TCP/135端口访问到本地路由器，因为是访问本地路由 器的数据，这里进入input链表进行操作：Q lev Firevll Rbl-Ac
9、tion：Reset Coimters禁止内网19268. 1.100的电脑上网，我们通过fCEJrd琏表进行控制：Vev Firevall BiLejensral Advanced Extra Action StatisticsGeneral kA中 mud Ex tra Action Statist! cs试验：1、在input中配置一个规则组，通过接受 192.168.10.6 和192.168.11.10 的IP能访问路由器，其他地址禁止访问路由器2、导入一个防火墙脚本，并禁止ICMP协议通过路由器访问外网。我们来看看Jump操作在forward链表中的工作过程：forwardICMP
10、在forward中数据遇到jump规则，会判断数据是否符合定义jump规则，如果满 足条件将跳转到指定白链表，如上图的ICMP和virus链表，当在数据进入这些 链表执行完后，会返回jump规则所在的forward链表中。RouterOS防火墙与过滤详解（三）IP Firewall协议深入解析TCP/IP协议和构架我们首先理解一下，TCP/IP体系结构:传输层网络层网络接口层HTTP. FTP. TFT-SMTP. SNMP. Telnet.RPC, DNS. Ping TCPUDP| 心MP. IGGP IP ARP. RARPEthernets ATM, FDDI. X.25, PPP、T
11、oken-Ring 应用层报文或数据流TCP或UDP数据报IP数据包网络帧(1)网络接口层网络接口层，也被称为网络访问层，包括了能使用TCP/IP与物理网络进行通信的协议，它对应OSI的物理层和数据链路层。TCP/IP标准并没有定义具体的网 络接口协议。具体的网络接口协议在实际应用的网络如Ethernet、ATM FDDI、X.25、PPP Token-Ring 等中定义。(2)网络层网络层是在TCP/IP标准中正式定义的第一层。网络层所执行的主要功能是处理 来自传输层的分组，将分组形成数据包(IP数据包)，并为该数据包进行路径 选择，最终将数据包从源主机发送到目的主机，在网络层中，最常用是网
12、络协议IP ,其他一些协议用来协助IP的操作。网络层的协议有：IP、ARP RARP ICMP IGMP(3)传输层TCP/IP的传输层也被称为主机至主机层，与 OSI的传输层类似，主要负责主机 到主机之间的端对端通信，该层使用了两种协议来支持两种数据的传送方法，即TCPB议和UDFW议。(4)应用层在TCP/IP模型中，应用程序接口是最高层，它与 OSI模型中的高三层的任务相 同，用于提供网络服务，比如文件传输、远程登录、域名服务和简单网络管理等。我们的RouterOS中，ip firewall filter主要负责的是网络层、传输层和应用层，网络接口层则由bridge filter 负责处
13、理。我们从上面的图看到，在 RouterOS的filter 规则中，可以找到Protocol （协 议）的选项，我们可以根据情况，选择自己需要的协议。TCP/IP协议是一族协议，包括上百个互为关联的协议，不同功能的协议分布在不同的协议层， 下面是几个常用协议：一、网际层协议IP:网际协议ARP地址解析协议RARP反向地址解析协议ICMP/ICMPv6 Internet 消息控制协议IPCP and IPv6CP: IP控制协议和IPV6控制协议IGMP Internet 组管理协议二、传输层协议TCP传输控制协议UDP用户数据报协议RDP可靠数据协议，RDP是一种面向连接的传输协议，其主要设计
14、来为主机监控应用程序如下载/ 上传以及远程调试进行有效的大批数据传输。RUDP可靠用户数据报协议，RUDP用于传输IP网络间的电话信号。三、应用层协议应用层协议HTTP超文本传输协议，用于Internet中的客户机与WW服务器之间的数据传 输DHCP动态主机配置协议，实现对主机的地址分配和配置工作DNS域名系统（服务）系统，用于实现主机名与IP地址之间的映射FTR文件传输协议，实现主机之间的文件传送TFTP简单文件传输协议TELNE：T TCP/IP 终端仿真协议（又称远程登录协议），本地主机作为仿真终端，登录到远程主机上运行应用程序SMTP简单邮件传输协议，实现主机之间电子邮件的传送；IMAP4:因特网信息访问协议，用于访问存储在邮件服务器系统内的电子邮件和 电子公告板信息。POP （POP3 :邮局协议，用于用户与服务器之间进行邮件的收发。SNMP简单网络管理协议，实现网络的管理NNTP网络新闻传输协议UUCP： Unix 到 Unix 的拷贝程序BOOTP引导协议，用于无盘主机或工作站的启动NFS网络文件系统，实现主机之间的文件系统的共享NAT网络地址转换IRCP/IRC:因特网在线聊天协议LDAP轻量级目录访问协议NTP网络时间协议RLOGIN远程登录命令
