2025全新整理-Mikrotik-RouterOS-ROS系统IPv4和IPv6默认推荐防火墙规则firewall脚本集合-收藏备用

已于 2025-03-13 19:30:22 修改
阅读量465 收藏 4
点赞数 2
分类专栏： ROS 文章标签： windows 智能路由器
于 2025-03-13 15:15:26 首次发布
本文链接：https://blog.csdn.net/TikTok_okok/article/details/146231094
版权

本文已经综合整理了互联网上，比较全面和热门的防火墙规则了，不用再去其他地方对比和寻找了，因为最近我也是在研究ros系统，就综合整理了这个文章，理论上应该没有什么其他要补充的，特殊规则的话，建议自行参照本文另外添加，或者仔细搜索，或者问ai，或者对照官方文档添加修改谢谢。有任何问题，可以联系笔者。祝您食用愉快(#.#)

  1. 网络接口列表设置

    • 创建接口列表：定义了“WAN”和“LAN”两个接口列表，用于区分广域网和局域网接口，方便后续在防火墙规则中引用。
    • 添加接口成员：将“lan”“wan”“pppoe-out1”“bridge”“ether1”等接口分别添加到对应的“WAN”或“LAN”列表中，明确各接口所属网络区域。

  2. IPv4防火墙规则

    • 输入链规则
      • 允许特定流量：允许ICMP协议的ping请求通过，同时接受状态为“established”（已建立连接）、“related”（相关连接）和“untracked”（未跟踪）的连接，保障正常网络通信。
      • 丢弃异常流量：丢弃连接状态为“invalid”（无效）的数据包，防止非法或异常连接进入；丢弃来自“WAN”接口的所有数据包，除非后续规则另有允许，增强网络安全性。
      • 防范端口扫描：通过一系列规则，依据TCP协议的不同标志位组合，识别多种端口扫描行为，如NMAP FIN Stealth扫描、SYN/FIN扫描等，并将扫描源地址添加到“port scanners”地址列表，14天后自动移除；对于已在“port scanners”列表中的源地址，直接丢弃其数据包，有效抵御端口扫描攻击。
    • 转发链规则
      • 加速转发：对状态为“established”和“related”的连接进行快速转发（fasttrack - connection），提升网络数据传输效率。
      • 允许与拒绝：接受状态为“established”“related”“untracked”的转发连接；丢弃连接状态为“invalid”的数据包；丢弃来自“WAN”接口且未进行目的网络地址转换（DSTNAT）的新建连接，确保网络转发的安全性和规范性。

  3. IPv6防火墙规则

    • 地址列表设置：创建“bad_ipv6”地址列表，包含如“::/128”（未指定地址）、“::1/128”（本地环回地址）等特殊IPv6地址范围，用于标记不允许或需特殊处理的IPv6地址。
    • 输入链规则
      • 允许特定流量：允许状态为“established”“related”“untracked”的连接；允许ICMPv6协议的数据包通过；允许目的端口在33434 - 33534之间的UDP协议的traceroute流量；允许源地址为“fe80::/16”、目的端口为546的UDP协议的DHCPv6 - Client前缀委托流量；允许目的端口为500和4500的UDP协议的IKE流量；允许IPsec - AH和IPsec - ESP协议的流量；允许符合IPsec策略的流量，满足网络正常运行所需的多种通信需求。
      • 丢弃异常流量：丢弃连接状态为“invalid”的数据包；丢弃来自非“LAN”接口的其他所有流量，保证局域网的安全性。
    • 转发链规则
      • 允许与拒绝：接受状态为“established”“related”“untracked”的转发连接；丢弃连接状态为“invalid”的数据包；丢弃源地址或目的地址在“bad_ipv6”列表中的数据包；丢弃跳数限制（hop - limit）等于1的ICMPv6数据包；接受ICMPv6协议、协议号为139（HIP）、目的端口为500和4500的UDP协议（IKE）、IPsec - AH、IPsec - ESP以及符合IPsec策略的流量；丢弃来自非“LAN”接口的其他所有流量，确保IPv6网络转发的安全与稳定。

    文档中的防火墙规则用于RouterOS系统，涵盖接口列表定义、IPv4和IPv6防火墙规则，目的是保障网络安全、规范数据传输。整理归类如下

  4. 定义接口列表

/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface list member
add interface=lan list=LAN
add interface=wan list=WAN
add interface=pppoe-out1 list=WAN
add interface=bridge list=LAN
add interface=ether1 list=WAN
  • 作用：定义了“WAN”和“LAN”两个接口列表，用于区分广域网和局域网接口，并将相关物理接口或逻辑接口加入对应的列表，方便后续在防火墙规则中引用。
  1. IPv4防火墙规则
    • 输入链（input chain）规则
/ip firewall filter
add action=accept chain=input comment="accept ping" protocol=icmp
add action=accept chain=input comment="accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="drop invalid" connection-state=invalid
add action=drop chain=input comment="drop all from WAN" in-interface-list=WAN
add chain=input protocol=tcp psd=21,3s,3,1 action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="Port scanners to list" disabled=no  
add chain=input protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="NMAP FIN Stealth scan"
add chain=input protocol=tcp tcp-flags=fin,syn action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="SYN/FIN scan"
add chain=input protocol=tcp tcp-flags=syn,rst action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="SYN/RST scan"
add chain=input protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="FIN/PSH/URG scan"
add chain=input protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="ALL/ALL scan"
add chain=input protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="NMAP NULL scan"
add chain=input src-address-list="port scanners" action=drop comment="dropping port scanners" disabled=no
  • 作用：允许ICMP的ping请求，保障网络连通性测试正常进行；接受已建立、相关和未跟踪的连接，确保合法通信持续；丢弃无效连接数据包，防止异常流量进入；丢弃来自WAN接口的所有数据包，除非有其他规则允许，增强安全性；识别多种端口扫描行为，将扫描源地址加入“port scanners”列表并在14天后移除，同时丢弃来自该列表的数据包，防范端口扫描攻击。
    - 转发链（forward chain）规则
/ip firewall filter
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="drop invalid" connection-state=invalid
add action=drop chain=forward comment="drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
  • 作用：对已建立和相关的连接进行快速转发，提高网络传输效率；接受已建立、相关和未跟踪的转发连接；丢弃无效连接数据包；丢弃来自WAN接口且未进行目的地址转换（DSTNAT）的新建连接，保障网络转发安全。
  1. IPv6防火墙规则
    • 地址列表设置
/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6
add address=::224.0.0.0/100 comment="defconf: other" list=bad_ipv6
add address=::127.0.0.0/104 comment="defconf: other" list=bad_ipv6
add address=::/104 comment="defconf: other" list=bad_ipv6
add address=::255.0.0.0/104 comment="defconf: other" list=bad_ipv6
  • 作用：创建“bad_ipv6”地址列表，包含多种特殊或需特殊处理的IPv6地址范围，用于后续在防火墙规则中对特定源或目的地址的数据包进行过滤。
    - 输入链（input chain）规则
/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/16
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
  • 作用：允许已建立、相关和未跟踪的连接；丢弃无效连接数据包；允许ICMPv6协议数据包、特定UDP端口范围的traceroute流量、特定UDP端口和源地址的DHCPv6 - Client前缀委托流量、特定UDP端口的IKE流量、IPsec - AH和IPsec - ESP协议流量以及符合IPsec策略的流量通过；丢弃来自非LAN接口的其他所有流量，保障网络安全和正常通信。
    - 转发链（forward chain）规则
/ipv6 firewall filter
add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN
  • 作用：允许已建立、相关和未跟踪的转发连接；丢弃无效连接数据包；丢弃源地址或目的地址在“bad_ipv6”列表中的数据包；丢弃跳数限制为1的ICMPv6数据包；允许ICMPv6协议、协议号为139（HIP）、特定UDP端口的IKE流量、IPsec - AH、IPsec - ESP协议以及符合IPsec策略的流量通过；丢弃来自非LAN接口的其他所有流量，确保IPv6网络转发安全可靠。
RouterOS脚本生成器 5.X-6.X Ver2.9
12-21
RouterOS脚本生成器 5.X-6.X Ver2.9 用这个制作脚本很方便
mikrotik IPv6 使用笔记（一） Routeros V7.6
panyong2010的博客
06-04 2721
要显示网络IPv6优先才可以
最专业的RouterOS防火墙规则
12-08
最专业的RouterOS防火墙规则、官网配置
河北保定电信家庭宽带获取原生IPv6地址，中兴F650光猫加MikroTik路由器
热门推荐
liujinbao8000的博客
06-19 1万+
先用电脑接光猫输入192.168.1.1,用户名：telecomadmin 密码：nE7jA%5m ROS路由器设置
MikroTik(RouteOS)部署IPV6
m0_37689231的博客
09-16 3904
MikroTik(RouteOS)部署IPV6
RouterOS防火墙
coudu2171的博客
03-10 353
/ ip firewall filter add chain=input connection-state=invalid action=drop comment="丢弃非法连接数据" disabled=no/ip firew...
ros 防火墙规则教程
weixin_33834137的博客
03-18 1523
routeros防火墙功能非常灵活。routeros防火墙属于包过滤防火墙，你可以定义一系列的规则过滤掉发往routeros、从routeros发出、通过routeros转发的数据包。在routeros防火墙中定义了三个防火墙（过滤）链（即input、forward、output），你可以在这三个链当中定义你自己的规则。 input意思是指发往rou...
tikwall:MikroTik RouterOS 的防火墙配置脚本
07-22
蒂克沃尔 MikroTik RouterOS 的防火墙配置脚本 这个包包含两组脚本。 第一个 (TIKWALL) 用于协助 MicroTik RouterOS 的 IPv4 防火墙配置。 第二个 (TIKWALL6) 用于 IPv6 防火墙配置。 您可以只使用您需要的脚本。
Mikrotik RouterOS的防火墙简介-从零开始学RouterOS系列03
bierxiu9789的博客
08-02 1062
为了更好的理解RouterOS的防火墙，特地给大家补一下科学知识，ROS的防火墙，其实运作的就是iptables，也为四表五链。这篇文章教你快速理解ROS的防火墙，看懂了也就懂iptables是什么原理了。四表五链大致如下。1.四表：Raw表——关闭连接追踪机制。用在prerouting，output链上。Mangle表——拆解报文，分析报文，修改报文。用在preroutin...
防火墙过滤规则案例-从零开始学RouterOS系列04
bierxiu9789的博客
08-03 710
此教程用途：内网IP过滤：如禁止某些IP上网。外网IP过滤：禁止访问某些外网IP。一、内网IP过滤：如禁止某些IP上网拓扑如下：两台机器均可上网！现在只允许254机器上网，不允许253机器上网。那么我们要如何操作呢？新建一条防火墙过滤规则：动作为丢弃：效果：PC-1是毫无压力可以访问的，毕竟没有被拦截。原理分析：在第一次路由之后，因为从第四口进来的数据包源IP和目的IP都不在...
RouterOS脚本教程
09-05
该手册是提供对 MikroTik RouterOS 嵌入式脚本介绍， 主机脚本提供了自动维护路由器任务的功能，通过借 助用户自定义发生事件脚本。 对于 RouterOS 的脚本操作，需要读者有一定的编程知识，而且对 RouterOS 各个功能熟悉和掌握。
RouterOS脚本生成器
09-14
官方]ROS脚本生成器V2.1多线综合修正版发布 2.1版本修正以下错误 1.修复了生成器流量单位的错误,全部改为KByte 2.修复了动态IP端口映射时网关和映射IP一致的错误 3.修复了PPPoE服务器脚本2.9.x无法生成的错误 4.修复了PPPoE服务器的IP错误 5.添加了PPPoE服务器可选择是否限速 6.修复了PPPoE多线负载刷网关脚本只能刷2线的错误 7.修复了PPPoE添加帐号时的部分错误 8.修复了映射端口不能支持连续端口的错误 9.修复了限速脚本相反的错误 10.修复了定时开关时的时间设置错误 11.修复了部分文字错误 12.修改了更新程序内核，更新更快！
ros专业防火墙规则
03-22
ros专业防火墙规则最新开源.ros路由器的最佳选择！
ros RouterOS脚本生成器
08-25
RouterOS-ROS软路由一键自动生成脚本,相当给力啊,不过太久没用过ROS了,都不知道现在是什么版本了! 以前的老版本程序也是相当好用的.现在更新了,估计是支持新版本脚本了.
routeros-exports:脚本从routeros-scripts存储库中导出的文件
03-26
routeros-exports:脚本从routeros-scripts存储库中导出的文件
防火墙NAT映射-端口映射-从零开始学RouterOS系列05
weixin_42588715的博客
08-04 2203
本教程用途： 有IPV4公网IP的企业需要把内网网站，CRM，ERP等服务器能在公网访问。 那么什么是端口映射（Port-Forwarding），那么就是要了解一下NAT和NAPT。 NAT是网络地址转换。 NAPT是网络地址端口转换。 NAT是用于地址对地址的转换，如内网地址对公网地址转换。，后来发现这个没卵用，数量上远远不够用。然后我们摸索了TCP/IP协议，借助其16bit的端口容...
RouterOS PPPOE 多拨负载均衡PCC.pdf
最新发布
03-10
通过以上详细的步骤和技术解析，可以看出PPPoE多拨结合PCC负载均衡技术在MikroTik RouterOS中具有强大的网络管理能力。这种配置不仅可以显著提高网络的可靠性，还能充分利用多个宽带连接的优势，实现高效的数据传输...
routeros-中文脚本教程
09-24
- **背景**：本教程旨在向用户提供关于 MikroTik RouterOS 嵌入式脚本系统的详细介绍，帮助读者更好地理解和掌握如何利用脚本自动化管理路由器的各项任务。 - **目标受众**：本教程适合有一定编程基础并对 RouterOS...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值