[Firewall 过滤] 操作路径: /ip firewall filter 网络防火墙始终

qianchang

Firewall 过滤



操作路径: /ip firewall filter

网络防火墙始终保持对那些有威胁敏感的数据进入内部网络中，无论怎样网络都是连接在一起的，总是会有某些从外闯入你 的 LAN，窃取资料和破坏内部网络。适当的配置防火墙可以有效的保护网络。

MikroTik RouterOS 是功能非常强大的防火墙，包括以下特征：

-- 包过滤功能

-- P2P 协议过滤

-- 7 层协议过滤

-- IPv6 防火墙过滤

-- 数据传输分类：

o 源 MAC 地址

o IP 地址（网段或列表）和地址类型（广播、本地、组播）

o 端口或端口长度

o IP 协议  

o 协议选择选项(ICMP 类型和代码字段、TCP 标记、IP 选项和 MSS)

o Interface 的数据包从那里到达或通过那里里去

o 内部数据流与连接标记

o ToS (DSCP)

o 数据包内容

o Connection-rate 连接速率

o PCC 分离器

o 数据包大小

o 包到达时间

基本过滤规则

防火墙操作是借助于防火墙的策略，一个策略规则是告诉路由器如何处理一个 IP 数据包，每一条策略都由两部分组成，一 部份是传输状态配置和定义如何操作数据包。数据链（Chains）是为更好的管理和组织策略。

过滤功能有三个默认的数据链（chains）：input, forward 和 output 他们分别负责从哪里进入路由器的、通过路由器 转发的与从路由器发出的数据。用户也可用自定义添加链，当然这些链没有默认的传输配置，需要在三条默认的链中对 action=jump 策略中相关的 jump-target 进行配置。

过滤链

下面是三条预先设置好了的 chains，他们是不被能删除的：

-- input – 用于处理进入路由器的数据包，即数据包目标 IP 地址是到达路由器一个接口的 IP 地址，经过路由器的数 据包不会在 input-chains 处理。

-- forward – 用于处理通过路由器的数据包

-- output – 用于处理源于路由器并从其中一个接口出去的数据包。 他们具体的区别如下：

IP 数据包进入 input 链表的数据工作流程：

游客，如果您要查看本帖隐藏内容请回复

IP 数据包进入 output 链表的流程：



IP 数据进入 forward 链表的流程



当处理一个 chain（数据链），策略是从 chain 列表的顶部从上而下执行的。如果一个数据包满足策略的条件，这时会执行

该操作。

我们来看看防火墙过滤原则：

游客，如果您要查看本帖隐藏内容请回复

流沙

fgfdgdfgdfhgfhgfhgjhgjhgjgh

dd8134

我来学习一下啊

春雨

楼主的教程要顶起来》》》》》》》》》》》

zhuizhu1111

*************888

m98062

有案例吗

蓝田∑half-huma

太需要了，之前就是太着急，结果欲速则不达。ROS下再挂在路由，下级路由下的主机都不能连接到网络

/太阳＊大餅丶

不错不粗。。。。。。。。

q595780515

进来学习一下ROS ,想看看防火墙过滤功能是怎样做到的

wccycl