Firewall в Mikrotik: разбираем, как обеспечивать безопасность сети

• Вебинар посвящен обновлению старого материала по файерволу в MikroTik RouterOS.  

• Обсуждение безопасности и настройки файервола.  

• Практическое применение на лабораторном стенде.  

• Розыгрыш призов от спонсоров.  

• Вопросы можно задавать в Telegram с хэштегом.  

• Обсуждение файервола-фильтра, цепочек действий и состояний соединений.  

• Файервол-фильтр защищает сети друг от друга.  

• В MikroTik нет четкого разделения на внешнюю и внутреннюю сети.  

• Важно учитывать интерфейсы, с которых приходит и уходит трафик.  

• Файервол работает на уровне L3.  

• Не подходит для обнаружения устройств в сети.  

• Вопросы безопасности сети зависят от конкретных задач.  

• Файервол работает по принципу "если, то".  

• Цепочка "импут" защищает роутер и его сервисы.  

• Цепочка "форвард" фильтрует трафик, проходящий через роутер.  

• Цепочка "аутпут" фильтрует трафик, исходящий из роутера.  

• В 90% случаев не требует защиты.  

• Используется для защиты ресурсов роутера и проверки доступности интернета.  

• Файервол в MikroTik работает на центральном процессоре.  

• Любое правило потребляет ресурсы процессора.  

• Защита от самого себя не всегда необходима и может увеличить нагрузку на систему.  

• Правила работают по принципу "если-то".  

• Условия делятся на общие, продвинутые и экстра.  

• Действия описывают, что делать с пакетом после сопоставления с условием.  

• Цепочки описывают проходящий трафик и входящий трафик.  

• Входные и выходные интерфейсы включают стандартные и логические группы.  

• Логические группы интерфейсов помогают сократить количество правил.  

• Цепочка "импут" находится после "роутинг десижен".  

• Трафик проходит через физический интерфейс, пре-роутинг и роутинг десижен.  

• Роутинг десижен определяет, куда направляется трафик.  

• Пре-роутинг изменяет адрес назначения пакета.  

• Форвард находится после пре-роутинга и перед глобальными деревьями очередей.  

• Аутпут находится после мангл форварда и коннект трекинга.  

• После аутпута есть обходное значение маршрутизации.  

• Это позволяет перенаправлять трафик в другую таблицу маршрутизации.  

• Разрешить пакет: правило по умолчанию - accept.  

• Правила для сбора адресов источника и назначения: dst-to-address-list и src-to-address-list.  

• Эти правила собирают IP-адреса в список для дальнейшего использования.  

• Правила собирают IP-адреса источника и назначения в список.  

• Можно использовать таймауты для динамического или статического удаления адресов.  

• Эти правила не влияют на трафик, а только собирают IP-адреса.  

• Правила dst-to-address-list и src-to-address-list используются для блокировки IP-адресов сервисов.  

• Пример: блокировка IP-адресов Telegram.  

• Проблема: блокировка может быть неэффективной из-за постоянного добавления новых IP-адресов.  

• Rule drop: уничтожает трафик без уведомления.  

• Rule lock: записывает заголовки пакетов в лог.  

• Используется для отладки и анализа трафика.  

• Post-drop: отправляет ответ хосту, почему трафик был отброшен.  

• Reject: отправляет ответ хосту, что соединение было сброшено.  

• Используется для внутренних сервисов и блокировки доступа в интернет.  

• Использование цепочки forward для блокировки сайтов.  

• Применение интерфейсов для блокировки доступа между сетями.  

• Использование reject для быстрой блокировки веб-браузеров.  

• Торпид отвечает на TCP-пакеты с нулевым окном.  

• Используется для борьбы с ботами, которые пытаются завалить службу.  

• Торпид не стоит выставлять наружу, так как он производительнее, чем сайт.  

• Используются для однотипных правил, чтобы избежать многократной проверки трафика.  

• Пример: правила для TCP-портов 80, 443, 143, 25, 110.  

• Кастомные цепочки позволяют оптимизировать производительность роутера.  

• Рекомендуется использовать отдельные цепочки для асимметричных ответов.  

• Пример: правила для 7-битных ответов, которые часто используются.  

• Использование кастомных цепочек и правил джамп для оптимизации работы.  

• Правила ретерн используются для возврата из цепочки.  

• Они помогают избежать ошибок в файерволе.  

• Минус цепочек в том, что их сложно читать и поддерживать.  

• Описывание цепочек может запутать коллег.  

• Стандартные цепочки более читаемы.  

• Важно контролировать заполнение цепочек и вести документацию.  

• NAT используется для изменения адресов в заголовках пакетов.  

• В 90-х годах NAT был необходим для выхода локальных сетей в интернет.  

• NAT позволяет экономить IP-адреса, используя один адрес для нескольких устройств.  

• В современном мире NAT практически не используется.  

• Современные системы используют порт-адресную трансляцию PAT.  

• PAT позволяет использовать один IP-адрес для множества устройств и сервисов.  

• Процедура изменения адреса назначения находится в цепочке при роутинг.  

• Процедура изменения адреса источника находится в цепочке сорс над.  

• Ацепт останавливает обработку в рамках цепочек правил.  

• Правила проброса используются для IPsec и других целей.  

• Пример: проброс TCP-порта 3389 на IP-адрес 10.1.3.253.  

• Прямой проброс портов не требует указания портов.  

• Неровный проброс требует указания портов, если они отличаются.  

• Проброс нескольких портов не требует указания портов, если они все идут на один порт.  

• Маскарад заменяет адрес источника в заголовке пакета.  

• Это правило требует ресурсов для определения адреса источника.  

• Использование сорс-ната вместо маскарада улучшает производительность.  

• Нет мап используется для пересечения сетей.  

• Позволяет автоматически менять адреса при пересечении сетей.  

• Может вызвать проблемы при больших развертываниях.  

• Сейм используется для провайдеров.  

• Позволяет использовать пул IP-адресов для выхода в интернет.  

• Подходит для провайдеров, которые не хотят привязывать абонентов к конкретным IP-адресам.  

• Файервол отслеживает соединения с помощью коннекшн-трекинга.  

• Пакеты могут находиться в разных состояниях: новое соединение, истеблиш, релейт, инвелит, антрекет.  

• Новые соединения проверяются при первом подключении, чтобы избежать частых проверок.  

• Истеблиш означает, что соединение уже открыто и происходит взаимодействие.  

• Пакеты в состоянии истеблиш продлеваются с помощью тайм-аутов.  

• Релейт определяет связанные соединения, например, FTP, и открывает доступ для связанных соединений.  

• Инвелит — это пакет, который не принадлежит ни к одному из известных соединений.  

• Антрекет — это пакет, настроенный в обход коннекшн-трекинга, например, между локальными сетями.  

• Дефолтный файервол разрешает трафик, проходящий через роутер, и прибивает инвелит.  

• Первое правило разрешает трафик, проходящий через роутер.  

• Инвелит пакеты прибиваются, а интерфейс-листы используются для управления провайдерами.  

• Роутер должен отвечать на ICMP-запросы и иметь доступ к управлению.  

• Важно сделать закрытый файервол, чтобы доступ к запрещенным ресурсам был запрещен.  

• Форварды должны быть настроены правильно, чтобы не ломались пробросы портов.  

• Коннекшн-трекинг показывает активные соединения и позволяет очищать зависшие пакеты.  

• Пропущено правило, связанное с фаст-треком.  

• Трафик, который уже проверен, можно исключить из коннект-трекинга и проверок файервола.  

• Это увеличивает производительность роутера, особенно для домашних пользователей.  

• Фаст-трек работает адекватно для типи и вип, но не для всех.  

• В инпуте фаст-трек увеличивает производительность, особенно для слабых роутеров.  

• Это помогает увеличить скорость для домашних пользователей с широкими каналами.  

• После добавления нового правила чистить коннект-треки не нужно.  

• Все работает корректно с простой настройкой.  

• Создание адрес-листов для блокировки пользователей.  

• Указание IP-адресов или подсетей для блокировки.  

• Возможность блокировки конкретных сайтов и доменных имен.  

• Использование адрес-листов для блокировки внешних и внутренних сетей.  

• Применение правил TCP/IP для блокировки трафика.  

• Пример правила для блокировки выхода пользователей в интернет.  

• Блокировка трафика между интерфейсами роутера.  

• Использование правил для контроля доступа между сетями.  

• Применение правил для блокировки определенных протоколов и портов.  

• Использование общих интерфейсов для межсетевого экрана.  

• Применение правил для контроля трафика между интерфейсами.  

• Объяснение работы хелперов для изменения заголовков пакетов.  

• Обсуждение вопросов от зрителей.  

• Различие между роутерами R7 и R6.  

• Использование DNS для привязки IP-адресов.  

• Различие между NAT и Firewall в роутерах.  

• Использование ловушек для детектирования анонимной активности.  

• Применение IDS и IPS для более глубокого анализа трафика.  

• Блокировка трафика по портам для предотвращения спама.  

• Настройка интерфейсов для входящего и исходящего трафика.  

• Возможность комбинирования различных интерфейсов для разных задач.  

• Цепочки правил полезны при большом количестве правил и специфичных правил.  

• Оптимизация правил для снижения нагрузки на роутер.  

• Использование комбинации открытого и закрытого файерволов.  

• Внутренний дефолтный файервол для нормального доступа в интернет.  

• Классические файерволы остаются актуальными в мире новых технологий.  

• Вопросы безопасности и защиты от подмены сертификатов.  

• Размещение правил выше инвалида для корректной работы.  

• Пример блокировки торрентов через L7 протокол.  

• Фильтрация трафика на уровне роуд для больших потоков.  

• Объединение правил файервола через запятую для повышения производительности.  

• NAT не защищает без форвардинга из локальной сети провайдера.  

• Пример защиты от проникновения через локальную сеть провайдера.  

• Добавление внешних сетей в адрес лист для защиты.  

• Пример защиты от злоумышленника, пытающегося проникнуть в локальную сеть.