7
Mikrotik Firewall - wie effizient aufbauen?
Hallo Administratoren,
ich möchte meine Firewall aufräumen, bzw. neu strukturieren.
Anstatt Detailfragen, möchte ich mal die Meinungen einholen, wie man diese effizient strukturiert, so dass die CPU weitgehendst geschont wird.
ist der Ansatz mal nicht verkehrt?
ich möchte meine Firewall aufräumen, bzw. neu strukturieren.
Anstatt Detailfragen, möchte ich mal die Meinungen einholen, wie man diese effizient strukturiert, so dass die CPU weitgehendst geschont wird.
- allgemeiner Schutz für den Router, gegen z.B. DsS/DDoS Attacken, hierfür RAW
- Alles was schon läuft akzeptieren, bzw. gen FastTrack schicken:
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,relatedadd action=accept chain=forward comment="default configuration" connection-state=established,related,untracked- (das vieleicht zu Router-Zugang schieben?)
add action=accept chain=input comment="default configuration" connection-state=established,related,untracked - website filter, wenn gewünscht
- neue Browser-Verbindungen, sowie Email zulassen:
add action=accept chain=forward in-interface=VLANsWithWANAccees-List out-interface=WAN port=(Email ports und 80, 443)- Traffic LAN->WWW filter/checks und dann den rest zulassen
- ...?
add action=accept chain=forward in-interface=VLANsWithWANAccees-List out-interface=WAN por- falsche Verbindungen verwerfen:
add action=drop chain=forward connection-state=invalid- Router schützen
- Router-Zugang filtern
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN...chain=input ...- LAN schützen
- Zugang zwischen VLANs einschränken (192.168.0.0/16 sind alle VLANs)
add action=drop chain=forward dst-address=192.168.0.0/16 src-address=192.168.0.0/16 - nicht NAT'd traffic -> drop
- ...
- drop rest
ist der Ansatz mal nicht verkehrt?
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 1780137892
Url: https://administrator.de/contentid/1780137892
Ausgedruckt am: 21.11.2024 um 17:11 Uhr
7 Kommentare
Neuester Kommentar
Nicht das wir jetzt 2 themengleiche Threads parallel handhaben müssen...
Mikrotik CRS NAT-Performance
Mikrotik CRS NAT-Performance
Zitat von @aqui:
Nicht das wir jetzt 2 themengleiche Threads parallel handhaben müssen...
Mikrotik CRS NAT-Performance
Nicht das wir jetzt 2 themengleiche Threads parallel handhaben müssen...
Mikrotik CRS NAT-Performance
der ist ja beinahe noch druckfrisch, schaue es mir nachher im Detail an
habe es jetzt doch schnell überflögen, Mikrotik CRS NAT-Performance zielt momentan eher auf VLAN-Performance ab auch wenn Firewall ein Thema ist.
der ist ja beinahe noch druckfrisch, schaue es mir nachher im Detail an
Aber Du bist doch Profi?! ... ich
Ich dachte aber ...
a) Input vor Forward
b) Drop invalid vor allem anderen, wegen "Last"
Funktioniert das FastTrack ohne "hw-offload=yes" überhaupt?! Bei mir ging dann kein Traffic drüber. Mag aber HW-abhängig sein, dass kann ich nicht beurteilen.
1habe es jetzt doch schnell überflögen
Solange du sie nicht überflötest ist alles gut... 🤣1Zitat von @Visucius:
Aber Du bist doch Profi?! ... ichputz hier flaniere hier nur und hatte sozusagen ein "Einsteigerproblem", welches Du oben schon nachhaltig gefixt hast.
ich komme nicht ganz dahinter was du mir sagen willst, sorry.der ist ja beinahe noch druckfrisch, schaue es mir nachher im Detail an
Aber Du bist doch Profi?! ... ich
Zitat von @Visucius:
Ich dachte aber ...
a) Input vor Forward
b) Drop invalid vor allem anderen, wegen "Last"
Ich dachte aber ...
a) Input vor Forward
b) Drop invalid vor allem anderen, wegen "Last"
a) gibt aber viel mehr Forwardals Input, sprich mehr Traffic wäre damit früher wieder runter von der FW. Habe es da wie in Why do most firewalls have Input rules first? - MikroTik
b) dacht ich mir auch zuerst, ich dachte aber die anderen fälle treten öfters auf, gibt es so viel "invalid"?
Sollt mir mal ne vernünftige Statistik für die FW-Regel aufbauen, um zu sehen, welche am häufigsten zum Zuge kommen.
Funktioniert das FastTrack ohne "hw-offload=yes" überhaupt?! Bei mir ging dann kein Traffic drüber. Mag aber HW-abhängig sein, dass kann ich nicht beurteilen.
Habe es ohne grössere Unterscheidung zwischen den Modellen übernommen, bzw. genauer nachgedacht, wenn es halt nicht hat, dann geht es nicht, wenn hat, dann geht es 
.Jetzt da aber ROS 7.1 da ist und L3 Hardware Offloading möglich ist, sieht die Sachlage evtl. anders aus.
Wenn ich es richtig verstehe, geht dann auch NAT über den Switch-Chip, so kann ich wohl das VLAN Routing auf nem CRS machen und würde.
Ich habe den CCR1009-7G-1C-1S+ als Route, da ist nichts mit HW-off aber bei meinen CRS328-4C-20S-4S+RM und CRS328-24P-4S+RM sieht es schon anders aus.
Ist gerade nur ein Gedanke, es macht evtl. Sinn die VLAN Interfaces auf eines der CRSs zu legen und auf dem CCR die verbleibenden Sachen zu machen, die Konfiguration wird dann nur komplexer (grübel, grübel, ...)
Zitat von @aqui:
da war ich zu schnell beim tippen 🤣habe es jetzt doch schnell überflögen
Solange du sie nicht überflötest ist alles gut... 🤣
Zitat von @PackElend:
a) gibt aber viel mehr Forwardals Input, sprich mehr Traffic wäre damit früher wieder runter von der FW. Habe es da wie in Why do most firewalls have Input rules first? - MikroTik
Zitat von @Visucius:
Ich dachte aber ...
a) Input vor Forward
b) Drop invalid vor allem anderen, wegen "Last"
Ich dachte aber ...
a) Input vor Forward
b) Drop invalid vor allem anderen, wegen "Last"
a) gibt aber viel mehr Forwardals Input, sprich mehr Traffic wäre damit früher wieder runter von der FW. Habe es da wie in Why do most firewalls have Input rules first? - MikroTik
Ob INPUT oder FORWARD Regeln, macht keinen Unterschied bei der Reihenfolge, weil beides komplett unterschiedliche CHAINs sind. Die Entscheidung ob das Paket in den Router hinein fließt (INPUT) oder dieser das Paket nur weiterleitet (FORWARD) wird ja schon vorher getroffen, die Reihenfolge zählt erst innerhalb der unterschiedlichen CHAINs.
Wie immer sollte man sich bei solchen Fragen einfach mal den Flow-Chart ansehen dann erklärt sich vieles von selbst
https://wiki.mikrotik.com/wiki/Manual:Packet_Flow
Gruß /n
2
