1、我们可以通过jump命令将数据跳转到指定的链表.上面的图片是显示了几个自定义链表,除了我们在右上角,下拉菜单看到的input、forward、output基本链表外(all、dynamic、static是系统状态链表),可以看到自定义的Robotdog、ICMP、virus这三个链表RouterOS防火墙与过滤详解(二)RouterOS IP firewall filter工作原理下面是三条预先设置好了的chains,他们是不被能删除的:input 用于处理进入路由器的数据包,即数据包目标IP地址是到达路由器一个接口的IP地址,经过路由器的数据包不会在input-chains处理。forwar
2、d 用于处理通过路由器的数据包output 用于处理源于路由器并从其中一个接口出去的数据包。当处理一个chain(数据链),策略是从chain列表的顶部从上而下执行的。即先进先出法(First In First Out)如图:我们通过先进先出法可以理解到,过滤数据时我们可以通过以下的两种原则“先丢弃后接受和先接受后丢弃:现在我来看事例中的防火墙规则,我先从input链表开始,这里是对所有访问路由的数据进行过滤和处理:从input链表中可以看到,我们对进入路由器的数据采用先拒绝非法的数据和连接,并将ICMP数据跳转到自定义的ICMP的链表中过滤。下面是forward链表一个应用防火墙事例:for
3、ward链表,我们首先拒绝大多数机器狗访问的目标地址,然后跳转到机器狗链表中对相应的域名和IP进行过滤,接下来是对非法数据包、TCP连接数、非单播数据、ICMP协议和常见的病毒等进行过滤。事例:下面是禁止任何地址通过TCP/135端口访问到本地路由器,因为是访问本地路由器的数据,这里进入input链表进行操作:试验:1、在input中配置一个规则组,通过接受192。168。10.6和192。11。10的IP能访问路由器,其他地址禁止访问路由器2、导入一个防火墙脚本,并禁止ICMP协议通过路由器访问外网。我们来看看Jump操作在forward链表中的工作过程:在forward中数据遇到jump规
4、则,会判断数据是否符合定义jump规则,如果满足条件将跳转到指定的链表,如上图的ICMP和virus链表,当在数据进入这些链表执行完后,会返回jump规则所在的forward链表中。窗体顶端RouterOS防火墙与过滤详解(三)IP Firewall协议深入解析TCP/IP协议和构架我们首先理解一下,TCP/IP体系结构:(1)网络接口层 网络接口层,也被称为网络访问层,包括了能使用TCP/IP与物理网络进行通信的协议,它对应OSI的物理层和数据链路层.TCP/IP标准并没有定义具体的网络接口协议.具体的网络接口协议在实际应用的网络如Ethernet、ATM、FDDI、X.25、PPP、Tok
5、enRing 等中定义。(2)网络层 网络层是在TCP/IP标准中正式定义的第一层。网络层所执行的主要功能是处理来自传输层的分组,将分组形成数据包(IP数据包),并为该数据包进行路径选择,最终将数据包从源主机发送到目的主机,在网络层中,最常用是网络协议IP,其他一些协议用来协助IP的操作。网络层的协议有:IP、ARP、RARP、ICMP、IGMP(3)传输层 TCP/IP的传输层也被称为主机至主机层,与OSI的传输层类似,主要负责主机到主机之间的端对端通信,该层使用了两种协议来支持两种数据的传送方法,即TCP协议和UDP协议。(4)应用层 在TCP/IP模型中,应用程序接口是最高层,它与OSI
6、模型中的高三层的任务相同,用于提供网络服务,比如文件传输、远程登录、域名服务和简单网络管理等。我们的RouterOS 中,ip firewall filter主要负责的是网络层、传输层和应用层,网络接口层则由bridge filter负责处理.我们从上面的图看到,在RouterOS的filter规则中,可以找到Protocol(协议)的选项,我们可以根据情况,选择自己需要的协议.TCP/IP协议是一族协议,包括上百个互为关联的协议,不同功能的协议分布在不同的协议层, 下面是几个常用协议:一、网际层协议 IP:网际协议ARP:地址解析协议RARP:反向地址解析协议ICMP/ICMPv6:Inte
7、rnet 消息控制协议IPCP and IPv6CP:IP控制协议和IPV6控制协议IGMP:Internet 组管理协议二、传输层协议 TCP:传输控制协议UDP:用户数据报协议RDP:可靠数据协议,RDP 是一种面向连接的传输协议,其主要设计来为主机监控应用程序如下载 / 上传以及远程调试进行有效的大批数据传输。RUDP:可靠用户数据报协议,RUDP 用于传输 IP 网络间的电话信号。三、应用层协议应用层协议 HTTP:超文本传输协议,用于Internet中的客户机与WWW服务器之间的数据传输DHCP:动态主机配置协议,实现对主机的地址分配和配置工作DNS:域名系统(服务)系统,用于实现主
8、机名与IP地址之间的映射FTP:文件传输协议,实现主机之间的文件传送TFTP:简单文件传输协议TELNET:TCP/IP 终端仿真协议(又称远程登录协议),本地主机作为仿真终端,登录到远程主机上运行应用程序SMTP:简单邮件传输协议,实现主机之间电子邮件的传送;IMAP4:因特网信息访问协议,用于访问存储在邮件服务器系统内的电子邮件和电子公告板信息。POP(POP3):邮局协议,用于用户与服务器之间进行邮件的收发.SNMP:简单网络管理协议,实现网络的管理NNTP:网络新闻传输协议UUCP:Unix到Unix的拷贝程序BOOTP:引导协议,用于无盘主机或工作站的启动NFS:网络文件系统,实现主
9、机之间的文件系统的共享NAT:网络地址转换IRCP/IRC:因特网在线聊天协议LDAP:轻量级目录访问协议NTP:网络时间协议RLOGIN:远程登录命令,仅支持Unix到Unix的连接。RMON:远程监控RWhois:远程目录访问协议SLP:服务定位协议SNTP:简单网络时间协议Finger:用户信息协议文档为个人收集整理,来源于网络个人收集整理,勿做商业用途试验:1.禁止192.168.10。2的电脑使用TCP 80端口访问网页 2.禁止所有内网用户使用FTP下载数据(FTP端口TCP 2021)窗体底端RouterOS防火墙与过滤详解(四) IP源地址和目标地址概念如何判断源地址和目标地址
10、,与他们在ip firewall filter的链表,我们先看看下面的图:我们从该图上可以看到,内网主机192.168.10.88与路由器192。10.1通信的情况,内网主机192.168.10.88向路由和外网的web服务器时,不同情况下源目标IP地址的转变和使用的chain链表情况。注:在这里要记住任何通信是双向的,而不仅只有源到目标一条链路.在RouterOS中两个选择涉及到源和目标地址,General标签中的src-address、dstaddress和Advanced的srcaddresslist、dst-addresslist如下图:rc-address和dstaddress可以支
11、持子网格式,同样支持一段连续的地址如:“192.168.10。10192.168.10。100”。在src-addresslist和dstaddresslist里需要调用/ip firewall address-list的地址列表,通过该地址列表可以设置不同地址段和不连续的IP地址.1.允许192。10。9和192。10.15能访问外网,禁止其他地址访问外网数据 2.路由器有两段内网IP地址192.168。0/24和192。0/24,禁止这两个地址段互访,但允许192。168.10。9访问192.168。11.9的主机病毒和应用程序过滤在RouterOS中能做到内容过滤,即content,对一
12、些明文传输的字符进行过滤,特别是web中的内容上面是一个过滤的域名过滤至于最新的机器狗病毒我们可以通过导入机器狗的存在的病毒地址和域名进行过滤,我们在对机器狗目标地址过滤时调用了addresslist的地址列表。我们在下图中,我们看到对机器狗的目标地址控制我们设置了dstaddress-list选择Robotdog,而Robotdog定义则是在ip firewall addresslist中定义:在addresslist常用于某一组相同类型或属性的IP地址,但这些又不连续,则可以通过addresslist来定义。以上的防火墙规则,可以在http:/。cn/softlist.aspx?class
13、id=1下载到。在RouterOS3。0中增加了Layer7协议过滤功能,即对应用程序的代码进行过滤,这些代码我们通过Regexp的脚本进行编辑,也可以通过我们预先编辑好的RouterOS脚本导入Layer7协议应用列表(下载)我们可以同在ip firewall filter中调用,操作如下我们可以同上面的列表看到,RouterOS的Layer7协议能对常见的网络协议、网络程序和游戏进行操作,根据我们需要进行拒绝、接受和跳转等。RouterOS防火墙规则操作相对比较灵活,相应的操作人员能掌握常见的网络协议和原理,操作中需要根据不同情况进行自定义,特别是防火墙前中上下结构能灵活的处理。1.禁止内网访问外网端口TCP和UDP445端口 2.禁止访问含关键字的的内容 3.通过在filter forward配置一条规则,禁止内网用户访问一下地址:61。133.1。33、128.22。31.234、125。23。11.123、69。23.113。1 4.通过L7协议禁止192。9的主机访问MSN和QQWeb Proxy代理过滤HTTP信息Route
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1