classic.ISPforum.cz

Ahoj,
mame ve skole RB750 MK v5.6, potrebuji nastavit pravidlo, abych dropnul vsechny porty (TCP i UDP) naraz krom portu 80 a 8129.
Procetl jsem historii prispevku zde na foru, resili se tu podobna temata, zkousel jsem ruzna nastaveni Firewallu, ale nedari se to

Zkousel jsem

add action=drop chain=input disabled=no dst-port=0-79 protocol=tcp
add action=drop chain=input disabled=no dst-port=81-8128 protocol=tcp

Poradite mi nekdo pls?

Myslim ze hledas asi toto:

/ip firewall filter add action=drop chain=input disabled=no dst-port=!80,8129 protocol=tcp
/ip firewall filter add action=drop chain=input disabled=no dst-port=!80,8129 protocol=udp

Tedy ze pobezi pouze porty 80 a 8129, kdyz toto pravidlo aplikuji jak jsi mi ho napsal tak prestane jit prave web prohlizece apod... nevite nekdo proc prave ta 80tka nebezi (prohlizec).

Chain input je pouze na cíl mikrotiku čili nepůjde se na něj přihlásit třeba SSH nebo telnetem.
Otázka jestli ti web na portu 80 funguje i při vypnutých pravidlech.
Port Webu se dá totiž změnit.

Kdyz vypnu pravidlo pro UDP a ponecham jen to pro TCP tak to bezi , ale jak zapnu pravidlo pro UDP (tedy ten druhej radek) tak to prestane bezet. Je to zapsane spravne ty dva radky od Marinaka ?

UDP port na input mikrotika je snad jen WinBox po MACu. Webovky neběží na UDP.

ze by blocked dns port ?

na inputu si jinak zakazuj co chces , pro komunikaci skrz ti to neblokne nic

Nie som nejaky macher, ale uz mu to napiste polopate:

/ip firewall filter add action=drop chain=forward disabled=no dst-port=!80,8129 protocol=tcp
/ip firewall filter add action=drop chain=forward disabled=no dst-port=!80,8129 protocol=udp

kedze nerozumiem data flow podla digramu Mikrotiku tak skusim najprv FORWARD a pripadne ked nejede tak POSTROUTING a PREROUTING, viac moznosti nie je, takze sa to rychlo odskusa co ide (zavisi ci sa na tom routri NATUje a ci nie a take kraviny).
Horny prikaz hovori zablokuj vsetko okrem (ten vykricnik je OKREM) portov uvedenych. Ako spravne kolega tu poznamenal zablokujes si aj DNS na porte 53, zablokujes si HTTPS na porte 443-nepojdu ti banky a tak... same prekvapenia, casom to odladis . Za pomoci GOOGLE si najdes co si nemas zablokovat a si vysmiaty