Mikrotik RB750GR3 Konfigurieren inkl. Firewall Regeln

Hallo Leute,

ich muss mich leider mal wieder, so wie viele anderen auch, mit einem Beitrag an Euch wenden
obwohl das Thema schon mehrfach besprochen wurde

Da ich Plane mein Heimnetzwerk zu erweitern habe ich mir einen RB750GR3 zugelegt.
Mein Start Setup sieht folgendermaßen aus:


Den Mikrotik habe ich wie hier mehrfach empfohlen zurückgesetzt um so die NAT Funktion zu deaktivieren.

Von der Fritzbox aus gehts per LAN Kabel in den eth0/wan (192.168.10.2) Port des Mikrotik.

Die Fritzbox hat folgende Static Route:
IP: 192.168.20.0
Netmask: 255.255.255.0
Gateway: 192.168.10.2

Am Mikrotik haben die Interfaces folgende IP´s:
eth0 192.168.10.2
eth1 192.168.20.1
eth2 192.168.20.2 usw.

Da die Fritzbox aktuell selbst noch einige Verbindungen bereitstellt läuft der DHCP Betrieb ausschließlich
über die Fritzbox. Und da ich im späteren Verlauf meines Netzwerks noch einen Switch an den Mikrotik
anschließen werde habe ich die Interfaces des Mikrotik mit statischen IP Adressen eingerichtet.
Wobei ich mir auch nicht sicher bin ob ich nicht doch Aufgrund des 192.168.20.0 einfach ein DHCP Server
einrichten könnte oder ob dieser trotzdem mit dem von der Fritzbox kollidiert.

Am Mikrotik habe ich unter DNS Settings noch die Fritzbox als DNS Server mit 192.168.10.1 eingetragen.
Des Weiteren habe ich unter Route List noch eine default Route zur Fritzbox angelegt.
Dst. Adress: 0.0.0.0/0
Gateway: 192.168.10.1
Typ: unicast

Soweit zum bisherigen Aufbau und der Konfiguration daher nun zu meinen eigentlichen Fragen. ;)
So wie ich das aus den Beitragen die ich hier bisher gelesen habe und aus dem was ich aus den Pascom Videos
mitgenommen habe, habe ich eine Bridge erstellt und dort die Ports eth1 und eth5 eingefügt,
damit diese beiden Zugang zum Internet haben.

Ein Ping über die Winbox nach 192.168.10.1 wird erfolgreich ausgeführt und wenn ich dort DNS anklicke wird auch Fritz.box angezeigt.
Ein Ping nach 8.8.8.8 wird ebenfalls erfolgreich ausgeführt. Allerdings komme ich nicht ins Internet.

Daher nun die Frage ob und wenn ja, wo meine bisherigen Fehler liegen und wie ich für das Setup die Firewall Regeln anlege?
Ich hatte schon einiges Versucht aber der PC kommt nicht ins Internet.

Gedacht hatte ich an folgendes:
Input -> In. Interfaces br-lan ->accept (damit ich mich nicht selbst aussperre)
Input -> Connection State - established und related -> accept
Input -> drop (damit der Rest ausgeschlossen wird)

Weiter komme ich allerdings nicht da ich mir nicht so sicher bin wie sich der Output und das Forward verhält.
Wird der Output direkt über den eth0/wan eingestellt? Oder über die IP der Fritzbox?
Und selbst wenn, ist in dem Fall der eth0/wan dann das Dst.Interface oder die Dst.Adress?

Wäre schon wenn mir da jemand mal weiterhelfen kann.
Genauso wenn mir jemand mal verständlich die Funktion Output/Forward in Kombination bzw. den Unterschied oder Bezug
von Dst. Adress sowie Src. Adress erklärt.
Denn wie schon erwähnt habe ich bereits die "Standard" Beiträge die zu diesem Thema genannt werden gelesen aber
das hat bisher nicht wirklich weiter geholfen.


VG

# aug/22/2018 15:03:13 by RouterOS 6.42.7
# model = RouterBOARD 750G r3

/interface bridge
add fast-forward=no name=br-lan

/interface ethernet
set [ find default-name=ether1 ] name=eth01-wan
set [ find default-name=ether2 ] name=eth02-lan01
set [ find default-name=ether3 ] name=eth03-lan02
set [ find default-name=ether4 ] name=eth04-lan03
set [ find default-name=ether5 ] name=eth05-lan04

/ip pool
add name=dhcp_pool1 ranges=192.168.20.10-192.168.20.254

/ip dhcp-server
add address-pool=dhcp_pool1 disabled=no interface=br-lan lease-time=12h name=dhcp1

/interface bridge port
add bridge=br-lan interface=eth02-lan01
add bridge=br-lan interface=eth05-lan04

/ip address
add address=192.168.10.4/24 interface=eth01-wan network=192.168.10.0
add address=192.168.20.1/24 interface=br-lan network=192.168.20.0
add address=192.168.20.1/24 interface=eth02-lan01 network=192.168.20.0

/ip dhcp-server network
add address=192.168.20.0/24 gateway=192.168.20.1

/ip dns
set servers=192.168.10.1

/ip route
add distance=1 gateway=192.168.10.1

/system clock
set time-zone-name=Europe/Berlin

/system routerboard settings
set silent-boot=no
[admin@MikroTik] >

/ip firewall filter

add action=accept chain=input connection-state=established,related
add action=accept chain=input in-interface=br-lan
add action=accept chain=input in-interface=eth03-lan02
add action=drop chain=input log=yes

add action=accept chain=forward connection-state=established,related
add action=accept chain=forward connection-state=new in-interface=br-lan out-interface=eth01-wan 
protocol=udp src-address=\ 192.168.20.0/24
add action=accept chain=forward connection-state=new in-interface=br-lan out-interface=eth01-wan 
protocol=tcp src-address=\ 192.168.20.0/24
add action=drop chain=forward log=yes

/ip firewall filter
add action=accept chain=input connection-state=established,related
add action=accept chain=input in-interface=br-lan
add action=accept chain=input in-interface=eth03-lan02
add action=accept chain=input dst-address=192.168.20.0/24 src-address=192.168.10.0/24
add action=drop chain=input log=yes

add action=accept chain=forward connection-state=established,related
add action=accept chain=forward connection-state=new in-interface=br-lan out-interface=\
    eth01-wan protocol=tcp src-address=192.168.20.0/24
add action=accept chain=forward connection-state=new in-interface=br-lan out-interface=\
    eth01-wan protocol=udp src-address=192.168.20.0/24
add action=accept chain=forward dst-address=192.168.20.0/24 src-address=192.168.10.0/24
add action=drop chain=forward log=yes