RouterOS防火墙与过滤详解

ＲouteｒOＳ防火墙与过滤详解（一）MｉkroTikRｏuteｒOＳ能对包状态过滤;P2P协议过滤；源和目标NAT;对源ＭAC、IP地址、端口、IP协议、协议(ＩＣMP、TＣＰ、MSS等)、接口、对内部的数据包和连接作标记、ToS字节、内容过滤、挨次优先与数据频繁和时间掌握、包长度掌握。．.下面是RｏｕｔｅｒOＳ对IP流的处理流程：RouｔｅｒＯS防火墙类型ＭikrｏＴikRoｕtｅrOS具备强大的防火墙，依据不同的环境和类别我们可以把RouteｒOS的分未如下几个类型：ﻫ从网络层上分类:分为二层过滤防火墙和三层与三层以上过滤防火墙,他们分别在bｒidgefｉｌter和ｉｐfirｅwallｆilter下进行操作，能对各层的数据进行处理。从数据传输上分类：分为inpuｔ、ｆｏｒewａrd和ouｔｐｕt三种链表（cｈａin）过滤，不管是二层或者三层过滤上都包含这三个链表.同时ＲｏuterOS还支持自定义防火墙链表。如下面的vｉrus病毒链表。我们可以通过ｊuｍp命令将数据跳转到指定的链表。上面的图片是显示了几个自定义链表,除了我们在右上角,下拉菜单看到的inpuｔ、forward、ｏuｔput基本链表外（all、dynａｍｉc、ｓｔatic是系统状态链表）,可以看到自定义的Robｏｔdｏg、ICMＰ、viｒuｓ这三个链表RｏutｅｒＯＳ防火墙与过滤详解（二）RouｔｅｒＯSIPfiｒewallfｉｌtｅr工作原理下面是三条预先设置好了的ｃhaｉｎｓ，他们是不被能删除的：ｉnput–用于处理进入路由器的数据包,即数据包目标ＩＰ地址是到达路由器一个接口的IP地址,经过路由器的数据包不会在ｉnｐut—chaｉｎｓ处理。ﻫｆｏrｗard–用于处理通过路由器的数据包ﻫｏｕtput–用于处理源于路由器并从其中一个接口出去的数据包。当处理一个chaｉｎ(数据链）,策略是从ｃhａiｎ列表的顶部从上而下执行的.即先进先出法（FiｒstＩｎFirｓtOut)如图：我们通过先进先出法可以理解到,过滤数据时我们可以通过以下的两种原则“先丢弃后接受和先接受后丢弃”:现在我来看事例中的防火墙规章,我先从ｉnput链表开头,这里是对全部访问路由的数据进行过滤和处理:从input链表中可以看到,我们对进入路由器的数据采纳先拒绝非法的数据和连接，并将IＣMP数据跳转到自定义的ICMP的链表中过滤。ﻫ下面是forwarｄ链表一个应用防火墙事例：forｗard链表，我们首先拒绝大多数机器狗访问的目标地址，然后跳转到机器狗链表中对相应的域名和ＩP进行过滤,接下来是对非法数据包、TCP连接数、非单播数据、ICMP协议和常见的病毒等进行过滤。事例:下面是禁止任何地址通过TCP/１3５端口访问到本地路由器,由于是访问本地路由器的数据,这里进入ｉnｐuｔ链表进行操作：试验:1、在inpｕt中配置一个规章组，通过接受192。１6８.１0。6和19２.16８.11。１0的IＰ能访问路由器,其他地址禁止访问路由器

２、导入一个防火墙脚本,并禁止ＩCMP协议通过路由器访问外网。我们来看看Ｊｕmp操作在foｒｗａｒｄ链表中的工作过程:在fｏrward中数据遇到jｕmｐ规章，会推断数据是否符合定义juｍp规章，如果满意条件将跳转到指定的链表,如上图的ＩＣMP和ｖirus链表，当在数据进入这些链表执行完后，会返回jｕｍp规章所在的ｆoｒward链表中.ＲoutｅｒOS防火墙与过滤详解(三)IＰFiｒewａlｌ协议深化解析ＴCＰ／IＰ协议和构架我们首先理解一下，TCP/ＩP体系结构:（1)网络接口层网络接口层，也被称为网络访问层，包括了能使用ＴCP/IP与物理网络进行通信的协议，它对应OSI的物理层和数据链路层.ＴＣＰ/IP标准并没有定义简略的网络接口协议.简略的网络接口协议在实际应用的网络如Etｈeｒneｔ、ATM、FDDＩ、X．25、PPP、Ｔoｋen-Ｒing等中定义。（2)网络层网络层是在ＴＣP/ＩP标准中正式定义的第一层。网络层所执行的主要功能是处理来自传输层的分组,将分组形成数据包（ＩP数据包）,并为该数据包进行路径选择,最终将数据包从源主机发送到目的主机，在网络层中,最常用是网络协议IＰ，其他一些协议用来协助ＩP的操作。网络层的协议有:IＰ、ARP、RAＲP、ICＭP、IＧＭP(３）传输层TCＰ／ＩP的传输层也被称为主机至主机层,与ＯSＩ的传输层类似，主要负责主机到主机之间的端对端通信，该层使用了两种协议来支持两种数据的传送方法，即ＴCＰ协议和ＵＤP协议.（４）应用层在TCＰ/ＩP模型中，应用程序接口是最高层,它与OSI模型中的高三层的任务相同，用于供应网络服务,比如文件传输、远程登录、域名服务和简洁网络管理等。我们的RｏuｔeｒOS中,ipfiｒewalｌfilｔer主要负责的是网络层、传输层和应用层,网络接口层则由ｂriｄｇｅｆiｌｔeｒ负责处理.我们从上面的图看到，在ＲoutｅrOS的filter规章中，可以找到Protoｃｏｌ(协议）的选项，我们可以依据情况,选择自己需要的协议.ＴCP/IＰ协议是一族协议,包括上百个互为关联的协议,不同功能的协议分布在不同的协议层，下面是几个常用协议：一、网际层协议IＰ：网际协议ﻫARＰ：地址解析协议ﻫRＡRP:反向地址解析协议

ICＭＰ/ＩCＭPｖ６：Iｎtｅｒnｅt消息掌握协议ﻫIＰCPaｎdIＰv6ＣP：ＩＰ掌握协议和IPＶ６掌握协议

IGＭP：Iｎｔｅrnｅt组管理协议二、传输层协议TCP:传输掌握协议

UDP：用户数据报协议ﻫＲDP：牢靠数据协议,RDＰ是一种面对连接的传输协议，其主要设计来为主机监控应用程序如下载/上传以及远程调试进行有效的大批数据传输。

ＲUDP:牢靠用户数据报协议,RＵDP用于传输ＩP网络间的电话信号。三、应用层协议应用层协议ＨTＴP:超文本传输协议,用于Ｉｎterneｔ中的客户机与WWW服务器之间的数据传输

DＨＣＰ:动态主机配置协议,实现对主机的地址安排和配置工作ﻫDNS:域名系统（服务）系统，用于实现主机名与IP地址之间的映射

FTP:文件传输协议，实现主机之间的文件传送ﻫＴＦＴP:简洁文件传输协议

TELNＥT：ＴCP／IP终端仿真协议(又称远程登录协议），本地主机作为仿真终端,登录到远程主机上运行应用程序ﻫSMＴＰ:简洁邮件传输协议,实现主机之间电子邮件的传送;ﻫＩMAP4:因特网信息访问协议，用于访问存储在邮件服务器系统内的电子邮件和电子公告板信息。ﻫＰOP（ＰOＰ3)：邮局协议,用于用户与服务器之间进行邮件的收发。ﻫＳNMP：简洁网络管理协议，实现网络的管理

NNTP：网络新闻传输协议ﻫUUＣＰ:Uｎiｘ到Ｕｎiｘ的拷贝程序ﻫＢＯOＴP：引导协议，用于无盘主机或工作站的启动ﻫNFＳ:网络文件系统，实现主机之间的文件系统的共享ﻫNAT：网络地址转换ﻫIＲCP/IRC：因特网在线谈天协议

LDAＰ：轻量级名目访问协议ﻫＮTP:网络时间协议ﻫRLOGIN：远程登录命令，仅支持Ｕｎix到Unix的连接。ﻫRＭＯＮ：远程监控ﻫＲWhｏis：远程名目访问协议ﻫSＬP：服务定位协议ﻫSNＴP：简洁网络时间协议ﻫFinｇｅr：用户信息协议试验:禁止1９2。１6８.１０。2的电脑使用TＣP８0端口访问网页禁止全部内网用户使用FTP下载数据（FTＰ端口ＴＣP20-21)RoｕtｅｒOＳ防火墙与过滤详解（四)IP源地址和目标地址概念如何推断源地址和目标地址,与他们在iｐfiｒewａlｌfiltｅｒ的链表，我们先看看下面的图:我们从该图上可以看到，内网主机192。168．10．88与路由器192.１６８。10。１通信的情况，内网主机192。168。１０.８８向路由和外网的web服务器时，不怜悯况下源目标IP地址的转变和使用的ｃｈain链表情况.注：在这里要记住任何通信是双向的，而不仅只有源到目标一条链路。在RoｕtｅrＯS中两个选择涉及到源和目标地址，Ｇｅneral标签中的srｃ-addｒｅｓs、ｄsｔ-addreｓs和Advaｎcｅｄ的sｒc－aｄdreｓs-ｌｉst、dｓt－ａｄdｒeｓｓ—ｌiｓt如下图:rｃ-aｄdｒess和dst－ａddｒess可以支持子网格式,同样支持一段连续的地址如:“192。１6８.10。１0－1９2.1６8.１０.10０"。在sｒc—ａｄdreｓs—lisｔ和ｄsｔ－address-lｉsｔ里需要调用／ipfirewａllａｄｄｒess—lｉst的地址列表，通过该地址列表可以设置不同地址段和不连续的IP地址.试验：允许１９２.１68.１0.９和1９2。１68。1０．１5能访问外网，禁止其他地址访问外网数据路由器有两段内网IP地址１92．１68．１0。0/24和192．168。1１。0/２４,禁止这两个地址段互访，但允许19２.168．10．9访问１9２.168.1１．9的主机病毒和应用程序过滤在RｏutｅrOS中能做到内容过滤,即coｎｔｅｎt,对一些明文传输的字符进行过滤，格外是wｅb中的内容上面是一个过滤HYPEＲLINＫ＂ｈｔtp：/／www．tesｔ.cｏm"wwｗ。ｔesｔ．coｍ的域名过滤至于最新的机器狗病毒我们可以通过导入机器狗的存在的病毒地址和域名进行过滤，我们在对机器狗目标地址过滤时调用了aｄdrｅｓs－lｉsｔ的地址列表。我们在下图中，我们看到对机器狗的目标地址掌握我们设置了dｓｔ—addresｓ-list选择Rｏbｏtdog，而Roｂoｔdog定义则是在ｉpfirewalｌａdｄrｅsｓ—ｌist中定义：在addｒess-ｌｉｓt常用于某一组相同类型或属性的IＰ地址，但这些又不连续，则可以通过ａｄdｒeｓs－list来定义。以上的防火墙规章，可以在HYＰＥＲLINK＂http：//wwｗ.miｋrotik。coｍ．cn/softｌｉsｔ。aspｘ？clasｓid＝1”\ｔ＂_bｌank"http:/／wwｗ．ｍikrｏtiｋ.coｍ.ｃn/soｆtlisｔ．ａspｘ?ｃlasｓiｄ=1下载到.在RｏuｔerOＳ３。0中增加了Layeｒ7协议过滤功能，即对应用程序的代码进行过滤,这些代码我们通过Regeｘｐ的脚本进行编辑，也可以通过我们预先编辑好的RｏｕteｒＯS脚本导入Laｙer7协议应用列表（HYPEＲＬIＮK＂hｔtｐ:／／ｗww。mikrotｉk．cｏm．ｃn/soｆｔlｉst．ａｓｐｘ？ｃlａssid=１”\t"_ｂlａｎk"下载）我们可以同在iｐｆiｒｅwａlｌfilｔeｒ中调用,操作如下我们可以同上面的列表看到,RouｔeｒOS的Layer7协议能对常见的网络协议、网络程序和游戏进行操作，依据我们需要进行拒绝、接受和跳转等.RoutｅｒOS防火墙规章操作相对比较灵敏，相应的操作人员能掌握常见的网络协议和原理,操作中需要依据不怜悯况进行自定义，格外是防火墙前中上下结构能灵敏的处理.试验：禁止内网访问外网端口TＣP和UＤＰ４45端口禁止访问含关键字的1６3。cｏm的内容通过在filterｆｏｒwａrｄ配置一条规章，禁止内网用户访问一下地址:6１。１33．１.３３、128。22.３１.234、１25．23．11。１２3、6９。23。1１3.１通过L７协议禁止１92．1６8．1０.９的主机访问MSN和QQWeｂPｒoｘy代理过滤HTＴP信息RouｔｅｒＯＳ支持Ｗｅb代理功能,并能对ＨTTP的相关内容进行掌握。通过在RouteｒOS配置的Web代理功能过滤HTTP信息比起ipfiｒewallfilte