Рубрика: Mikrotik

mikrotik WebFig / web

Автор записи Автор: Evgeny Yakovlev
Дата записи 2024/10/31

Ссылки:

https://help.mikrotik.com/docs/spaces/ROS/pages/328131/WebFig

1	https://help.mikrotik.com/docs/spaces/ROS/pages/328131/WebFig

Настройка:

!!! Укажи правильный ip для вашего микротика
!!! также вы можете изменить порт для вебинтерфеса IP-> services-> www-ssl
!!! так же рекомендуется выключить IP -> services ->www

Генерация и установка ssl сертификата:
certificate add name=local-cert common-name=local-cert key-usage=key-cert-sign,crl-sign 
certificate sign local-cert 
certificate add name=webfig common-name=192.168.88.1
certificate sign webfig 

Включение веб сервера с генерированным сертификатом:
ip service
set www-ssl certificate=webfig disabled=no

!!! Укажи правильный ip для вашего микротика

!!! также вы можете изменить порт для вебинтерфеса IP-> services-> www-ssl

!!! так же рекомендуется выключить IP -> services ->www

Генерация и установка ssl сертификата:

certificate add name=local-cert common-name=local-cert key-usage=key-cert-sign,crl-sign

certificate sign local-cert

certificate add name=webfig common-name=192.168.88.1

certificate sign webfig

Включение веб сервера с генерированным сертификатом:

ip service

set www-ssl certificate=webfig disabled=no

Mikrotik

mikrotik / winbox packet sniffer / wireshark

Автор записи Автор: Evgeny Yakovlev
Дата записи 2023/07/19

https://www.wireshark.org/

1	https://www.wireshark.org/

0. Первым делом открываем Wireshark, выбираем интерфейс, на котором хотим “сниффить”  
и устанавливаем следующий фильтр:

udp port 37008

1. А теперь самое интересное – подключаемся к MikroTik’у через WinBox, переходим в раздел Tools далее Packet Sniffer и настраиваем Streaming

0. Первым делом открываем Wireshark, выбираем интерфейс, на котором хотим “сниффить”

и устанавливаем следующий фильтр:

udp port 37008

1. А теперь самое интересное – подключаемся к MikroTik’у через WinBox, переходим в раздел Tools далее Packet Sniffer и настраиваем Streaming

Полезное для wireshark:

Включить отображение Packet Datagram
Edit -> Preference -> Layout
Выбрать вторую и в панелях выставить:
Pane 1: Packet list
Pane 2: Packet Details
Pane 3: Packet Diagram

Не забудьте включить Show Field Value в окошке Packet Datagram для отображения данных из пакета на картинке справа:)

Включить отображение Packet Datagram

Edit -> Preference -> Layout

Выбрать вторую и в панелях выставить:

Pane 1: Packet list

Pane 2: Packet Details

Pane 3: Packet Diagram

Не забудьте включить Show Field Value в окошке Packet Datagram для отображения данных из пакета на картинке справа:)

Mikrotik

mikrotik / mesh

Автор записи Автор: Evgeny Yakovlev
Дата записи 2022/04/04

Ссылки:

https://xn----7sba7aachdbqfnhtigrl.xn--j1amh/nastrojka-mikrotik-mesh-edinaya-wifi-set/

1	https://xn----7sba7aachdbqfnhtigrl.xn--j1amh/nastrojka-mikrotik-mesh-edinaya-wifi-set/

router gw

/interface bridge
add admin-mac=1A:D2:D1:B2:42:7A auto-mac=no name=Bridge-LAN
/interface wireless
set [ find default-name=wlan1 ] ssid=MikroTik
set [ find default-name=wlan2 ] ssid=MikroTik
/interface list
add name=WAN
add name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool
add name=Ip-Pool-LAN ranges=10.113.96.2-10.113.96.254
/ip dhcp-server
add address-pool=Ip-Pool-LAN disabled=no interface=Bridge-LAN lease-time=3d \
name=DHCP-LAN
/interface bridge port
add bridge=Bridge-LAN interface=ether2
add bridge=Bridge-LAN interface=ether3
add bridge=Bridge-LAN interface=ether4
add bridge=Bridge-LAN interface=ether5
add bridge=Bridge-LAN interface=wlan1
add bridge=Bridge-LAN interface=wlan2
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add interface=ether1 list=WAN
add interface=Bridge-LAN list=LAN
/ip address
add address=10.113.96.1/24 interface=Bridge-LAN network=10.113.96.0
/ip dhcp-client
add disabled=no interface=ether1 use-peer-dns=no
/ip dhcp-server network
add address=10.113.96.0/24 dns-server=10.113.96.1 gateway=10.113.96.1 \
netmask=24
/ip dns
set allow-remote-requests=yes servers=1.1.1.1,1.0.0.1
/ip firewall filter
add action=accept chain=forward connection-state=established,related
add action=accept chain=input connection-state=established,related
add action=accept chain=forward in-interface-list=LAN
add action=accept chain=input in-interface-list=LAN
add action=accept chain=input in-interface-list=WAN protocol=icmp
add action=drop chain=input in-interface-list=WAN
add action=drop chain=forward connection-nat-state=!dstnat in-interface-list=WAN
add action=drop chain=input connection-state=invalid
add action=drop chain=forward connection-state=invalid
/ip firewall nat
add action=masquerade chain=srcnat out-interface-list=WAN
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/system clock
set time-zone-name=Europe/Kiev
/system identity
set name=MikroTik-Mesh-1
/tool bandwidth-server
set enabled=no
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
/tool mac-server ping
set enabled=no

/interface bridge

add admin-mac=1A:D2:D1:B2:42:7A auto-mac=no name=Bridge-LAN

/interface wireless

set [ find default-name=wlan1 ] ssid=MikroTik

set [ find default-name=wlan2 ] ssid=MikroTik

/interface list

add name=WAN

add name=LAN

/interface wireless security-profiles

set [ find default=yes ] supplicant-identity=MikroTik

/ip pool

add name=Ip-Pool-LAN ranges=10.113.96.2-10.113.96.254

/ip dhcp-server

add address-pool=Ip-Pool-LAN disabled=no interface=Bridge-LAN lease-time=3d \

name=DHCP-LAN

/interface bridge port

add bridge=Bridge-LAN interface=ether2

add bridge=Bridge-LAN interface=ether3

add bridge=Bridge-LAN interface=ether4

add bridge=Bridge-LAN interface=ether5

add bridge=Bridge-LAN interface=wlan1

add bridge=Bridge-LAN interface=wlan2

/ip neighbor discovery-settings

set discover-interface-list=LAN

/interface list member

add interface=ether1 list=WAN

add interface=Bridge-LAN list=LAN

/ip address

add address=10.113.96.1/24 interface=Bridge-LAN network=10.113.96.0

/ip dhcp-client

add disabled=no interface=ether1 use-peer-dns=no

/ip dhcp-server network

add address=10.113.96.0/24 dns-server=10.113.96.1 gateway=10.113.96.1 \

netmask=24

/ip dns

set allow-remote-requests=yes servers=1.1.1.1,1.0.0.1

/ip firewall filter

add action=accept chain=forward connection-state=established,related

add action=accept chain=input connection-state=established,related

add action=accept chain=forward in-interface-list=LAN

add action=accept chain=input in-interface-list=LAN

add action=accept chain=input in-interface-list=WAN protocol=icmp

add action=drop chain=input in-interface-list=WAN

add action=drop chain=forward connection-nat-state=!dstnat in-interface-list=WAN

add action=drop chain=input connection-state=invalid

add action=drop chain=forward connection-state=invalid

/ip firewall nat

add action=masquerade chain=srcnat out-interface-list=WAN

/ip service

set telnet disabled=yes

set ftp disabled=yes

set www disabled=yes

set ssh disabled=yes

set api disabled=yes

set api-ssl disabled=yes

/system clock

set time-zone-name=Europe/Kiev

/system identity

set name=MikroTik-Mesh-1

/tool bandwidth-server

set enabled=no

/tool mac-server

set allowed-interface-list=LAN

/tool mac-server mac-winbox

set allowed-interface-list=LAN

/tool mac-server ping

set enabled=no

wifi 5Ghz

/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa2-psk eap-methods="" group-key-update=20m mode=\
dynamic-keys name=Security-WiFi supplicant-identity="" \
wpa2-pre-shared-key=mikrotikconfigukr
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
country=no_country_set disabled=no frequency=auto mode=ap-bridge \
security-profile=Security-WiFi ssid=MT-Mesh wireless-protocol=802.11
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=\
20/40/80mhz-XXXX disabled=no mode=ap-bridge security-profile=\
Security-WiFi ssid=MT-Mesh wds-default-bridge=Bridge-LAN wds-mode=\
dynamic-mesh wireless-protocol=802.11

/interface wireless security-profiles

set [ find default=yes ] supplicant-identity=MikroTik

add authentication-types=wpa2-psk eap-methods="" group-key-update=20m mode=\

dynamic-keys name=Security-WiFi supplicant-identity="" \

wpa2-pre-shared-key=mikrotikconfigukr

/interface wireless

set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \

country=no_country_set disabled=no frequency=auto mode=ap-bridge \

security-profile=Security-WiFi ssid=MT-Mesh wireless-protocol=802.11

set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=\

20/40/80mhz-XXXX disabled=no mode=ap-bridge security-profile=\

Security-WiFi ssid=MT-Mesh wds-default-bridge=Bridge-LAN wds-mode=\

dynamic-mesh wireless-protocol=802.11

mesh 1

# jan/02/1970 00:04:51 by RouterOS 6.46.8
# software id = IT5K-H6ER
#
# model = RB952Ui-5ac2nD
# serial number = D3D50C2AA773
/interface bridge
add admin-mac=EA:14:AA:61:09:9B auto-mac=no name=Bridge-LAN
/interface wireless
set [ find default-name=wlan1 ] ssid=MikroTik
set [ find default-name=wlan2 ] ssid=MikroTik
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/interface bridge port
add bridge=Bridge-LAN interface=all
/ip dhcp-client
add disabled=no interface=Bridge-LAN
/system identity
set name=MikroTik-Mesh-2

# jan/02/1970 00:04:51 by RouterOS 6.46.8

# software id = IT5K-H6ER

# model = RB952Ui-5ac2nD

# serial number = D3D50C2AA773

/interface bridge

add admin-mac=EA:14:AA:61:09:9B auto-mac=no name=Bridge-LAN

/interface wireless

set [ find default-name=wlan1 ] ssid=MikroTik

set [ find default-name=wlan2 ] ssid=MikroTik

/interface wireless security-profiles

set [ find default=yes ] supplicant-identity=MikroTik

/interface bridge port

add bridge=Bridge-LAN interface=all

/ip dhcp-client

add disabled=no interface=Bridge-LAN

/system identity

set name=MikroTik-Mesh-2

mesh 2

/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
add authentication-types=wpa2-psk eap-methods="" group-key-update=20m mode=\
dynamic-keys name=Security-WiFi supplicant-identity="" \
wpa2-pre-shared-key=mikrotikconfigukr
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \
country=no_country_set disabled=no frequency=auto mode=ap-bridge \
security-profile=Security-WiFi ssid=MT-Mesh wireless-protocol=802.11
set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=\
20/40/80mhz-XXXX disabled=no mode=ap-bridge security-profile=\
Security-WiFi ssid=MT-Mesh wds-default-bridge=Bridge-LAN wds-mode=\
dynamic-mesh wireless-protocol=802.11

/interface wireless security-profiles

set [ find default=yes ] supplicant-identity=MikroTik

add authentication-types=wpa2-psk eap-methods="" group-key-update=20m mode=\

dynamic-keys name=Security-WiFi supplicant-identity="" \

wpa2-pre-shared-key=mikrotikconfigukr

/interface wireless

set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-XX \

country=no_country_set disabled=no frequency=auto mode=ap-bridge \

security-profile=Security-WiFi ssid=MT-Mesh wireless-protocol=802.11

set [ find default-name=wlan2 ] band=5ghz-a/n/ac channel-width=\

20/40/80mhz-XXXX disabled=no mode=ap-bridge security-profile=\

Security-WiFi ssid=MT-Mesh wds-default-bridge=Bridge-LAN wds-mode=\

dynamic-mesh wireless-protocol=802.11

Mikrotik

Mikrotik / vlan / винегрет из vlan

Автор записи Автор: Evgeny Yakovlev
Дата записи 2022/02/10

Ссылки:

https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table
https://help.mikrotik.com/docs/display/ROS/VLAN


https://www.youtube.com/watch?v=wbmHmCDce5Y&ab_channel=MikrotikTraining

https://www.youtube.com/watch?v=h_IouVogCME&ab_channel=bozza 
https://www.youtube.com/watch?v=dSN4mIYe9A0&ab_channel=bozza


https://xn----7sba7aachdbqfnhtigrl.xn--j1amh/nastrojka-vlan-v-mikrotik-trunk-i-access-porty/
https://habr.com/ru/post/578126/
https://deps.ua/knowegable-base-ru/primery-tehnicheskih-reshenij/9154.html
https://lanmarket.ua/stats/bazovye-osnovy-nastroyki-vlan-v-routeros-na-oborudovanii-mikrotik-vlan-dlya-chaynikov-segmentatsiya/
https://bozza.ru/art-353.html

https://wiki.mikrotik.com/wiki/Manual:Bridge_VLAN_Table

https://help.mikrotik.com/docs/display/ROS/VLAN

https://www.youtube.com/watch?v=wbmHmCDce5Y&ab_channel=MikrotikTraining

https://www.youtube.com/watch?v=h_IouVogCME&ab_channel=bozza

https://www.youtube.com/watch?v=dSN4mIYe9A0&ab_channel=bozza

https://xn----7sba7aachdbqfnhtigrl.xn--j1amh/nastrojka-vlan-v-mikrotik-trunk-i-access-porty/

https://habr.com/ru/post/578126/

https://deps.ua/knowegable-base-ru/primery-tehnicheskih-reshenij/9154.html

https://lanmarket.ua/stats/bazovye-osnovy-nastroyki-vlan-v-routeros-na-oborudovanii-mikrotik-vlan-dlya-chaynikov-segmentatsiya/

https://bozza.ru/art-353.html

Несколько вариантов настройки vlan \ винегрет

0. В интерфейсах
И на интерфейсы навешивать vlan

1. В бриджах

2. В настройках switch чипа

0. В интерфейсах

И на интерфейсы навешивать vlan

1. В бриджах

2. В настройках switch чипа

access \ untagged port \ cнемаем vlan tag \ конечные устройства ничего не знают tag

0. Создаем бридж
/interface bridge
add name=bridge1 vlan-filtering=yes

1. Создаем vlan на порту, pvid 50
/interface vlan
add interface=bridge1 name=bridge1.50 vlan-id=50

2. Добавляем порт в бридж и устанавливаем ему vlan, pvid=50
/interface bridge port
add bridge=bridge1 interface=ether2 pvid=50

3. Настраиваем поведение vlan на Access port
/interface bridge vlan
add bridge=bridge1 tagged=bridge1 untagged=ether2 vlan-ids=50

4. Далее настраиваем IP \DHCP \ DNS \ default route \ romon
/ip pool
add name=dhcp_pool1 ranges=192.168.50.2-192.168.50.254
/ip dhcp-server
add address-pool=dhcp_pool1 disabled=no interface=bridge1.50 name=dhcp2
/ip address
add address=192.168.50.1/24 interface=bridge1.50 network=192.168.50.0
/ip dhcp-server network
add address=192.168.50.0/24 gateway=192.168.50.1
/ip dns
set servers=8.8.8.8
/ip route
add distance=1 gateway=172.16.5.10
/tool romon
set enabled=yes

0. Создаем бридж

/interface bridge

add name=bridge1 vlan-filtering=yes

1. Создаем vlan на порту, pvid 50

/interface vlan

add interface=bridge1 name=bridge1.50 vlan-id=50

2. Добавляем порт в бридж и устанавливаем ему vlan, pvid=50

/interface bridge port

add bridge=bridge1 interface=ether2 pvid=50

3. Настраиваем поведение vlan на Access port

/interface bridge vlan

add bridge=bridge1 tagged=bridge1 untagged=ether2 vlan-ids=50

4. Далее настраиваем IP \DHCP \ DNS \ default route \ romon

/ip pool

add name=dhcp_pool1 ranges=192.168.50.2-192.168.50.254

/ip dhcp-server

add address-pool=dhcp_pool1 disabled=no interface=bridge1.50 name=dhcp2

/ip address

add address=192.168.50.1/24 interface=bridge1.50 network=192.168.50.0

/ip dhcp-server network

add address=192.168.50.0/24 gateway=192.168.50.1

/ip dns

set servers=8.8.8.8

/ip route

add distance=1 gateway=172.16.5.10

/tool romon

set enabled=yes

Первый роутер:Trunk port \ Tagged port \ тег не снимаем \ конечное устройство должно уметь в tag

Продолжаем настройку
0. Создаем бридж bridge1.100
/interface vlan
add interface=bridge1 name=bridge1.100 vlan-id=100

1. Включаем тегирование на портах
/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether3,ether4 untagged=ether2 vlan-ids=50
add bridge=bridge1 tagged=bridge1,ether3,ether4 vlan-ids=100

2. Не забываем добавить порты в бридж
/interface bridge port
add bridge=bridge1 interface=ether3
add bridge=bridge1 interface=ether4


3. Добавляем ip для bridge1.100
/ip address
add address=192.168.100.1/24 interface=bridge1.100 network=192.168.100.0

4. Далее настраиваем IP \ DHCP для bridge1.100
/ip pool
add name=dhcp_pool2 ranges=192.168.100.2-192.168.100.254
/ip dhcp-server
add address-pool=dhcp_pool2 disabled=no interface=bridge1.100 name=dhcp3
/ip dhcp-server network
add address=192.168.100.0/24 gateway=192.168.100.1

Продолжаем настройку

0. Создаем бридж bridge1.100

/interface vlan

add interface=bridge1 name=bridge1.100 vlan-id=100

1. Включаем тегирование на портах

/interface bridge vlan

add bridge=bridge1 tagged=bridge1,ether3,ether4 untagged=ether2 vlan-ids=50

add bridge=bridge1 tagged=bridge1,ether3,ether4 vlan-ids=100

2. Не забываем добавить порты в бридж

/interface bridge port

add bridge=bridge1 interface=ether3

add bridge=bridge1 interface=ether4

3. Добавляем ip для bridge1.100

/ip address

add address=192.168.100.1/24 interface=bridge1.100 network=192.168.100.0

4. Далее настраиваем IP \ DHCP для bridge1.100

/ip pool

add name=dhcp_pool2 ranges=192.168.100.2-192.168.100.254

/ip dhcp-server

add address-pool=dhcp_pool2 disabled=no interface=bridge1.100 name=dhcp3

/ip dhcp-server network

add address=192.168.100.0/24 gateway=192.168.100.1

Второй роутер: Trunk port \ Tagged port \ тег не снимаем \ конечное устройство должно уметь в tag

0. Первым делом включаем фильтрацию vlan
/interface bridge
add ingress-filtering=no name=bridge1 vlan-filtering=yes

1. Создаем интерфейсы vlan 50 \ 100
/interface vlan
add interface=bridge1 name=bridge1.50 vlan-id=50
add interface=bridge1 name=bridge100 vlan-id=100

2.Добовляем порты в бридж и настраиваем access на портах ether3 \ ether4
/interface bridge port
add bridge=bridge1 ingress-filtering=no interface=ether1
add bridge=bridge1 ingress-filtering=no interface=ether2
add bridge=bridge1 ingress-filtering=no interface=ether3 pvid=50
add bridge=bridge1 ingress-filtering=no interface=ether4 pvid=100

3. Настраиваем vlan Trank и Access
/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether3 vlan-ids=50
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether4 vlan-ids=100

4. Для проверки включи dhcp-clietn
/ip dhcp-client
add interface=bridge1
add interface=bridge1.50
add interface=bridge100

Romo позволяет подключится через другой mikrotik
/tool romon
set enabled=yes

0. Первым делом включаем фильтрацию vlan

/interface bridge

add ingress-filtering=no name=bridge1 vlan-filtering=yes

1. Создаем интерфейсы vlan 50 \ 100

/interface vlan

add interface=bridge1 name=bridge1.50 vlan-id=50

add interface=bridge1 name=bridge100 vlan-id=100

2.Добовляем порты в бридж и настраиваем access на портах ether3 \ ether4

/interface bridge port

add bridge=bridge1 ingress-filtering=no interface=ether1

add bridge=bridge1 ingress-filtering=no interface=ether2

add bridge=bridge1 ingress-filtering=no interface=ether3 pvid=50

add bridge=bridge1 ingress-filtering=no interface=ether4 pvid=100

3. Настраиваем vlan Trank и Access

/interface bridge vlan

add bridge=bridge1 tagged=bridge1,ether1 untagged=ether3 vlan-ids=50

add bridge=bridge1 tagged=bridge1,ether1 untagged=ether4 vlan-ids=100

4. Для проверки включи dhcp-clietn

/ip dhcp-client

add interface=bridge1

add interface=bridge1.50

add interface=bridge100

Romo позволяет подключится через другой mikrotik

/tool romon

set enabled=yes

Третий роутер: Trunk port \ Tagged port \ тег не снимаем \ конечное устройство должно уметь в tag

Тут все аналогично второму роутеру

/interface bridge
add ingress-filtering=no name=bridge1 vlan-filtering=yes

/interface vlan
add interface=bridge1 name=bridge1.50 vlan-id=50
add interface=bridge1 name=bridge1.100 vlan-id=100

/interface bridge port
add bridge=bridge1 interface=ether1
add bridge=bridge1 interface=ether2
add bridge=bridge1 interface=ether3 pvid=50
add bridge=bridge1 interface=ether4 pvid=100

/interface bridge vlan
add bridge=bridge1 tagged=bridge1,ether1 untagged=ether3 vlan-ids=50
add bridge=bridge1 tagged=bridge1,ether1,bridge1.100 untagged=ether4 vlan-ids=100

/ip dhcp-client
add interface=bridge1
add interface=bridge1.100
add interface=bridge1.50

/tool romon
set enabled=yes

Тут все аналогично второму роутеру

/interface bridge

add ingress-filtering=no name=bridge1 vlan-filtering=yes

/interface vlan

add interface=bridge1 name=bridge1.50 vlan-id=50

add interface=bridge1 name=bridge1.100 vlan-id=100

/interface bridge port

add bridge=bridge1 interface=ether1

add bridge=bridge1 interface=ether2

add bridge=bridge1 interface=ether3 pvid=50

add bridge=bridge1 interface=ether4 pvid=100

/interface bridge vlan

add bridge=bridge1 tagged=bridge1,ether1 untagged=ether3 vlan-ids=50

add bridge=bridge1 tagged=bridge1,ether1,bridge1.100 untagged=ether4 vlan-ids=100

/ip dhcp-client

add interface=bridge1

add interface=bridge1.100

add interface=bridge1.50

/tool romon

set enabled=yes

Mikrotik

Mikrotik / socks 5 / proxy / dante

Автор записи Автор: Evgeny Yakovlev
Дата записи 2022/01/20

info:

Начиная с прошивки 6.47 на канале stable маршрутизаторы(роутеры) MikroTik начали поддерживать долгожданную функцию proxy сервера Socks5

1	Начиная с прошивки 6.47 на канале stable маршрутизаторы(роутеры) MikroTik начали поддерживать долгожданную функцию proxy сервера Socks5

Настройка:

0. Активация Socks5:
IP -> Socks

1. Создание учётной записи для Socks5:
IP -> Socks -> Users

2. Ограничения
IP ->  Socks -> Access
В этом разделе можно определять правила access и deny, создавая некоторые ограничения для использования Socks.

3. Так же для работы прокси необходимо разрешить port в input
IP -> Firewall

4. Для клиента не обходимо будет настроить браузер "Proxy -> Manual Proxy -> Socks5".

0. Активация Socks5:

IP -> Socks

1. Создание учётной записи для Socks5:

IP -> Socks -> Users

2. Ограничения

IP -> Socks -> Access

В этом разделе можно определять правила access и deny, создавая некоторые ограничения для использования Socks.

3. Так же для работы прокси необходимо разрешить port в input

IP -> Firewall

4. Для клиента не обходимо будет настроить браузер "Proxy -> Manual Proxy -> Socks5".

Настройка в консоли:

/ip socks
set enabled=yes port=24572 version=5
/ip socks users
add name=YO_USER_NAME password=YO_PASSWORD

/ip socks

set enabled=yes port=24572 version=5

/ip socks users

add name=YO_USER_NAME password=YO_PASSWORD

Dante docker

docker pull dijedodol/simple-socks5-server
docker run -it --rm -p 1080:1080 -e 'SSS_USERNAME=your_username' -e 'SSS_PASSWORD=your_password' dijedodol/simple-socks5-server

1 2	docker pull dijedodol/simple-socks5-server docker run -it --rm -p 1080:1080 -e 'SSS_USERNAME=your_username' -e 'SSS_PASSWORD=your_password' dijedodol/simple-socks5-server

Dante свой велосипед на debian \ ubuntu

0. Ставим пакеты:
apt-get update
apt-get upgrade
apt-get install build-essential libwrap0-dev libpam0g-dev libkrb5-dev libsasl2-dev
apt-get install libwrap0 libwrap0-dev
apt-get install gcc make
apt-get install cron

1. Качаем dante
cd /opt
wget https://www.inet.no/dante/files/dante-1.4.1.tar.gz
tar -xvf dante-1.4.1.tar.gz
cd dante-1.4.1

2. Ставим
mkdir /home/dante
./configure --prefix=/home/dante
make
make install

3. Создаем конфиг
vim  /home/dante/danted.conf
----------------------------
logoutput: syslog /var/log/danted.log
internal: eth0 port = 1080
external: eth0
 
socksmethod: username
user.privileged: root
user.unprivileged: nobody
 
client pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    log: error
}
 
socks pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    command: connect
    log: error
    method: username
}
----------------------------

4. Пример настройки автозапуска (Лучше рассмотреть запуск через systemd)
# нам нужно удостовериться, что сервис запустится при перезагрузке
crontab -e
# вставьте в crontab
SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=your_email@some_mail.com
# запуск сервера как демона
/home/dante/sbin/sockd -f /home/dante/danted.conf -D

5.  Создаем пользователя для socks proxy
sudo useradd --shell /usr/sbin/nologin -m sockduser && sudo passwd sockduser


6. Пример простого firewall ufw на ubuntu (В принципе можно настроить iptables)
# - Инструкция - # https://wiki.dieg.info/socks
sudo apt install ufw
sudo ufw status
sudo ufw allow ssh
sudo ufw allow proto tcp from any to any port 1080
sudo ufw status numbered
sudo ufw enable

0. Ставим пакеты:

apt-get update

apt-get upgrade

apt-get install build-essential libwrap0-dev libpam0g-dev libkrb5-dev libsasl2-dev

apt-get install libwrap0 libwrap0-dev

apt-get install gcc make

apt-get install cron

1. Качаем dante

cd /opt

wget https://www.inet.no/dante/files/dante-1.4.1.tar.gz

tar -xvf dante-1.4.1.tar.gz

cd dante-1.4.1

2. Ставим

mkdir /home/dante

./configure --prefix=/home/dante

make

make install

3. Создаем конфиг

vim /home/dante/danted.conf

----------------------------

logoutput: syslog /var/log/danted.log

internal: eth0 port = 1080

external: eth0

socksmethod: username

user.privileged: root

user.unprivileged: nobody

client pass {

from: 0.0.0.0/0 to: 0.0.0.0/0

log: error

}

socks pass {

from: 0.0.0.0/0 to: 0.0.0.0/0

command: connect

log: error

method: username

}

----------------------------

4. Пример настройки автозапуска (Лучше рассмотреть запуск через systemd)

# нам нужно удостовериться, что сервис запустится при перезагрузке

crontab -e

# вставьте в crontab

SHELL=/bin/sh

PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin

MAILTO=your_email@some_mail.com

# запуск сервера как демона

/home/dante/sbin/sockd -f /home/dante/danted.conf -D

5. Создаем пользователя для socks proxy

sudo useradd --shell /usr/sbin/nologin -m sockduser && sudo passwd sockduser

6. Пример простого firewall ufw на ubuntu (В принципе можно настроить iptables)

# - Инструкция - # https://wiki.dieg.info/socks

sudo apt install ufw

sudo ufw status

sudo ufw allow ssh

sudo ufw allow proto tcp from any to any port 1080

sudo ufw status numbered

sudo ufw enable

Mikrotik Конспект

Конспект: mikrotik firewall

Автор записи Автор: Evgeny Yakovlev
Дата записи 2020/12/28

ссылки

https://ru.wikibooks.org/wiki/Iptables
https://tools.ietf.org/html/rfc1627
https://help.mikrotik.com/docs/display/ROS/Firewall
https://wiki.mikrotik.com/wiki/Basic_universal_firewall_script
https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/Filter
https://help.mikrotik.com/docs/display/ROS/Building+Your+First+Firewall
https://b14esh.com/device-%d1%83%d1%81%d1%82%d1%80%d0%be%d0%b9%d1%81%d1%82%d0%b2%d0%b0-%d0%b6%d0%b5%d0%bb%d0%b5%d0%b7%d0%be/mikrotik/mikrotik-home-config-firewall.html
https://youtu.be/F8sf6NUzQHA - видео mikrotik firewall Роман Козлов
https://mum.mikrotik.com/2018/RUM/agenda/RU - видео firewall Васильев Кирилл
https://www.youtube.com/watch?v=b-qFyuSnuBQ&feature=youtu.be&ab_channel=MikroTik - видео multiwan Васильев Кирилл

https://ru.wikibooks.org/wiki/Iptables

https://tools.ietf.org/html/rfc1627

https://help.mikrotik.com/docs/display/ROS/Firewall

https://wiki.mikrotik.com/wiki/Basic_universal_firewall_script

https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/Filter

https://help.mikrotik.com/docs/display/ROS/Building+Your+First+Firewall

https://b14esh.com/device-%d1%83%d1%81%d1%82%d1%80%d0%be%d0%b9%d1%81%d1%82%d0%b2%d0%b0-%d0%b6%d0%b5%d0%bb%d0%b5%d0%b7%d0%be/mikrotik/mikrotik-home-config-firewall.html

https://youtu.be/F8sf6NUzQHA - видео mikrotik firewall Роман Козлов

https://mum.mikrotik.com/2018/RUM/agenda/RU - видео firewall Васильев Кирилл

https://www.youtube.com/watch?v=b-qFyuSnuBQ&feature=youtu.be&ab_channel=MikroTik - видео multiwan Васильев Кирилл

!!!

0. Правила в firewall доминирующие, то есть применяются  по порядку сверху в них.
1. Цепочка Input трафик идущий на роутер
2. Цепочка Output трафик идущий из роутера
3. Цепочка Forward трафик идущий через роутер

0. Правила в firewall доминирующие, то есть применяются по порядку сверху в них.

1. Цепочка Input трафик идущий на роутер

2. Цепочка Output трафик идущий из роутера

3. Цепочка Forward трафик идущий через роутер

Bridge

/interface bridge
add name=br-lan

/interface bridge port
add bridge=br-lan interface=ether2
add bridge=br-lan interface=ether3
add bridge=br-lan interface=ether4
add bridge=br-lan interface=ether5

/interface bridge

add name=br-lan

/interface bridge port

add bridge=br-lan interface=ether2

add bridge=br-lan interface=ether3

add bridge=br-lan interface=ether4

add bridge=br-lan interface=ether5

Интерфейс лист

/interface list
add name=WAN
add name=LAN

/interface list member
add interface=ether1 list=WAN
add interface=br-lan list=LAN

/interface list

add name=WAN

add name=LAN

/interface list member

add interface=ether1 list=WAN

add interface=br-lan list=LAN

ip address

/ip address
add address=172.16.3.1/24 interface=br-lan network=172.16.3.0
add address=10.1.1.1/24 interface=br-lan network=10.1.1.0

/ip address

add address=172.16.3.1/24 interface=br-lan network=172.16.3.0

add address=10.1.1.1/24 interface=br-lan network=10.1.1.0

DHCP

/ip pool
add name=dhcp_172.16.3 ranges=172.16.3.2-172.16.3.254

/ip dhcp-server
add address-pool=dhcp_172.16.3 disabled=no interface=br-lan name=br-lan

/ip dhcp-server network
add address=172.16.3.0/24 dns-server=172.16.3.1 gateway=172.16.3.1

/ip pool

add name=dhcp_172.16.3 ranges=172.16.3.2-172.16.3.254

/ip dhcp-server

add address-pool=dhcp_172.16.3 disabled=no interface=br-lan name=br-lan

/ip dhcp-server network

add address=172.16.3.0/24 dns-server=172.16.3.1 gateway=172.16.3.1

DHCP client

/ip dhcp-client
add disabled=no interface=ether1

1 2	/ip dhcp-client add disabled=no interface=ether1

DNS

/ip dns
set allow-remote-requests=yes

1 2	/ip dns set allow-remote-requests=yes

Адрес листы для firewall

/ip firewall address-list
add address=192.168.15.0/24 list=admin
add address=172.16.3.0/24 list=admin
add address=10.0.0.0/24 list=admin
add address=10.1.1.2 list=user-block
add address=10.1.1.0/24 list=user-block
add address=10.1.1.2-10.1.1.10 list=user-block
add address=vk.com list=site-block
add address=172.16.3.0/24 list=users-pc

/ip firewall address-list

add address=192.168.15.0/24 list=admin

add address=172.16.3.0/24 list=admin

add address=10.0.0.0/24 list=admin

add address=10.1.1.2 list=user-block

add address=10.1.1.0/24 list=user-block

add address=10.1.1.2-10.1.1.10 list=user-block

add address=vk.com list=site-block

add address=172.16.3.0/24 list=users-pc

Счетчики пакетов в firewall

/ip firewall filter
add action=passthrough chain=forward
add action=passthrough chain=input
add action=passthrough chain=output

/ip firewall filter

add action=passthrough chain=forward

add action=passthrough chain=input

add action=passthrough chain=output

Логирование цепочки Input и forward, Log

/ip firewall filter
add action=log chain=forward disabled=yes log-prefix=Logging_Input
add action=log chain=forward disabled=yes log-prefix=Logging_Forward

/ip firewall filter

add action=log chain=forward disabled=yes log-prefix=Logging_Input

add action=log chain=forward disabled=yes log-prefix=Logging_Forward

Разрешаем подключение на mikrotik

/ip firewall filter
add action=accept chain=input dst-port=8291 in-interface=ether1 protocol=tcp src-address=192.168.15.0/24  - для сети 192.168.0.0/24
add action=accept chain=input dst-port=22,8291 in-interface-list=WAN protocol=tcp src-address-list=admin - для адрес листа admin порты 22 и 8291
add action=accept chain=forward dst-port=8291 in-interface=br-lan protocol=tcp - на интерфейс br-lan порт 8291 
add action=accept chain=forward dst-address=172.16.1.20 dst-port=8291 out-interface-list=LAN protocol=tcp   - на интерфейс LAN порт 8291 
add action=accept chain=input dst-port=1194 in-interface-list=WAN protocol=tcp

/ip firewall filter

add action=accept chain=input dst-port=8291 in-interface=ether1 protocol=tcp src-address=192.168.15.0/24 - для сети 192.168.0.0/24

add action=accept chain=input dst-port=22,8291 in-interface-list=WAN protocol=tcp src-address-list=admin - для адрес листа admin порты 22 и 8291

add action=accept chain=forward dst-port=8291 in-interface=br-lan protocol=tcp - на интерфейс br-lan порт 8291

add action=accept chain=forward dst-address=172.16.1.20 dst-port=8291 out-interface-list=LAN protocol=tcp - на интерфейс LAN порт 8291

add action=accept chain=input dst-port=1194 in-interface-list=WAN protocol=tcp

Добавление в адрес листы

!!! Может быть полезна для отлова и создания адрес листов
/ip firewall filter
add action=add-src-to-address-list address-list=ping_list address-list-timeout=none-dynamic chain=forward protocol=icmp
add action=add-src-to-address-list address-list=admin_8291 address-list-timeout=none-dynamic chain=forward dst-port=8291 protocol=tcp

add action=add-dst-to-address-list address-list=go_internet address-list-timeout=none-dynamic chain=output

!!! Может быть полезна для отлова и создания адрес листов

/ip firewall filter

add action=add-src-to-address-list address-list=ping_list address-list-timeout=none-dynamic chain=forward protocol=icmp

add action=add-src-to-address-list address-list=admin_8291 address-list-timeout=none-dynamic chain=forward dst-port=8291 protocol=tcp

add action=add-dst-to-address-list address-list=go_internet address-list-timeout=none-dynamic chain=output

Добавление в адрес листы на примере размера пакета ping

!!! может быть полезно для создания portknoking
!!! по умолчанию размер пакета ping равен 28
!!! Для windows:  ping -l 2 -n 5 10.0.0.25 - при такой команде будет послано пять пакетов размером 2 на адрес 10.0.0.5
!!! Для linux: ping -s 2 -c 5 10.0.0.25 - - при такой команде будет послано пять пакетов размером 2 на адрес 10.0.0.5
/ip firewall filter
add action=add-src-to-address-list address-list=ping_size_2_me address-list-timeout=10m chain=input in-interface-list=WAN packet-size=30 protocol=icmp

!!! может быть полезно для создания portknoking

!!! по умолчанию размер пакета ping равен 28

!!! Для windows: ping -l 2 -n 5 10.0.0.25 - при такой команде будет послано пять пакетов размером 2 на адрес 10.0.0.5

!!! Для linux: ping -s 2 -c 5 10.0.0.25 - - при такой команде будет послано пять пакетов размером 2 на адрес 10.0.0.5

/ip firewall filter

add action=add-src-to-address-list address-list=ping_size_2_me address-list-timeout=10m chain=input in-interface-list=WAN packet-size=30 protocol=icmp

Состояние пакетов:

New - пакет открывает новое соединение

Established - пакет принадлежит к уже открытому соединению

Related - пакет открывает новое соединение, но оно имеет отношение к уже имеющемуся соединению

Invalid - пакет не принадлежит ни к одному из известных соединений

Untracked - пакет, настроенный для обхода отслеживания соединений в таблице RAW межсетевого экрана.

New - пакет открывает новое соединение

Established - пакет принадлежит к уже открытому соединению

Related - пакет открывает новое соединение, но оно имеет отношение к уже имеющемуся соединению

Invalid - пакет не принадлежит ни к одному из известных соединений

Untracked - пакет, настроенный для обхода отслеживания соединений в таблице RAW межсетевого экрана.

Правила разрешающие пакеты Established \ Related \ Untracker

!!! Эти правила не обходимы для построение firewall
!!! Разрешаются пакеты которые открыли соединение, создают соединение на основе открытого и разрешаются пакеты которые попали fastrack
add action=accept chain=forward comment=Established/Related/Untracker connection-state=established,related,untracked
add action=accept chain=input comment=Established/Related/Untracker connection-state=established,related,untracked

!!! Эти правила не обходимы для построение firewall

!!! Разрешаются пакеты которые открыли соединение, создают соединение на основе открытого и разрешаются пакеты которые попали fastrack

add action=accept chain=forward comment=Established/Related/Untracker connection-state=established,related,untracked

add action=accept chain=input comment=Established/Related/Untracker connection-state=established,related,untracked

Добавления разрешающих правил для forward

!!! Пример для одного порта 
!!! Правилами злоупотреблять не стоит, и за за большого количества правил падает производительность и пропускная способность оборудования.(см у производителя)
!!! для уменьшения нагрузки можно создавать правила jamp, но они ухудшают читаемость правил firewall
/ip firewall filter
add action=accept chain=forward dst-port=80 out-interface=ether1 protocol=tcp
add action=accept chain=forward dst-port=443 out-interface=ether1 protocol=tcp
add action=accept chain=forward dst-port=8080 out-interface=ether1 protocol=tcp
add action=accept chain=forward ddst-port=25 out-interface=ether1 protocol=tcp
add action=accept chain=forward dst-port=110 out-interface=ether1 protocol=tcp
add action=accept chain=forward dst-port=143 out-interface=ether1 protocol=tcp

!!! Пример как можно указать правила выше
/ip firewall filter
add action=accept chain=forward dst-port=3389,443,80,8080,22,21,25 in-interface-list=WAN protocol=tcp
add action=accept chain=forward dst-port=5060,36600-39999 out-interface-list=WAN protocol=tcp

!!! Пример для одного порта

!!! Правилами злоупотреблять не стоит, и за за большого количества правил падает производительность и пропускная способность оборудования.(см у производителя)

!!! для уменьшения нагрузки можно создавать правила jamp, но они ухудшают читаемость правил firewall

/ip firewall filter

add action=accept chain=forward dst-port=80 out-interface=ether1 protocol=tcp

add action=accept chain=forward dst-port=443 out-interface=ether1 protocol=tcp

add action=accept chain=forward dst-port=8080 out-interface=ether1 protocol=tcp

add action=accept chain=forward ddst-port=25 out-interface=ether1 protocol=tcp

add action=accept chain=forward dst-port=110 out-interface=ether1 protocol=tcp

add action=accept chain=forward dst-port=143 out-interface=ether1 protocol=tcp

!!! Пример как можно указать правила выше

/ip firewall filter

add action=accept chain=forward dst-port=3389,443,80,8080,22,21,25 in-interface-list=WAN protocol=tcp

add action=accept chain=forward dst-port=5060,36600-39999 out-interface-list=WAN protocol=tcp

ICMP пример работы jamp (создание своей цепочки)

!!! создаем новую цепочку icmp и заворачиваем в нее трафик icmp
/ip firewall filter
add action=jump chain=input comment="GO TO ICPM INPUT" jump-target=icmp protocol=icmp
add action=jump chain=forward comment="GO TO ICPM FORWARD" jump-target=icmp protocol=icmp

!!! создаем правила в этой цепочки для трафика ICMP
/ip firewall filter
add action=accept chain=icmp comment="echo reply" icmp-options=0:0 protocol=icmp
add action=accept chain=icmp comment="net unreachable" icmp-options=3:0 protocol=icmp
add action=accept chain=icmp comment="host unreachable" icmp-options=3:1 protocol=icmp
add action=accept chain=icmp comment="host unreachable fragmentation required" icmp-options=3:4 protocol=icmp
add action=accept chain=icmp comment="allow echo request" icmp-options=8:0 protocol=icmp
add action=accept chain=icmp comment="allow time exceed" icmp-options=11:0 protocol=icmp
add action=accept chain=icmp icmp-options=12:0 protocol=icmp
add action=drop chain=icmp comment="deny all other types"

!!! или вместо этого примерно такая затычка 
add action=accept chain=input connection-rate=128k-128k in-interface-list=WAN packet-size=0-2100 protocol=icmp

!!! создаем новую цепочку icmp и заворачиваем в нее трафик icmp

/ip firewall filter

add action=jump chain=input comment="GO TO ICPM INPUT" jump-target=icmp protocol=icmp

add action=jump chain=forward comment="GO TO ICPM FORWARD" jump-target=icmp protocol=icmp

!!! создаем правила в этой цепочки для трафика ICMP

/ip firewall filter

add action=accept chain=icmp comment="echo reply" icmp-options=0:0 protocol=icmp

add action=accept chain=icmp comment="net unreachable" icmp-options=3:0 protocol=icmp

add action=accept chain=icmp comment="host unreachable" icmp-options=3:1 protocol=icmp

add action=accept chain=icmp comment="host unreachable fragmentation required" icmp-options=3:4 protocol=icmp

add action=accept chain=icmp comment="allow echo request" icmp-options=8:0 protocol=icmp

add action=accept chain=icmp comment="allow time exceed" icmp-options=11:0 protocol=icmp

add action=accept chain=icmp icmp-options=12:0 protocol=icmp

add action=drop chain=icmp comment="deny all other types"

!!! или вместо этого примерно такая затычка

add action=accept chain=input connection-rate=128k-128k in-interface-list=WAN packet-size=0-2100 protocol=icmp

Пример блокировки reject

!!! Reject в отличии от drop позволяет сообщить почему не доступен ресурс.
!!! Reject в отличии от drop, нет задержки.
!!! Reject желательно использовать в своих сетях

!!! ниже пример блокировки 80,443,8080 портов
/ip firewall filter
add action=reject chain=forward dst-port=80,443,8080 out-interface=ether1 protocol=tcp reject-with=tcp-reset
add action=reject chain=input dst-port=80,443,8080 in-interface=ether1 protocol=tcp reject-with=tcp-reset

!!! Пример блокировки сайтов по адрес листу
add action=reject chain=forward comment="BLOCK VK" dst-address-list=site-block dst-port=80,443 out-interface-list=WAN protocol=tcp reject-with=tcp-reset src-address-list=user-block

!!! Пример блокировки сети all-ppp из сети из сети all-wireless, при этом сообщаем причину запрета icmp-net-prohibited
add action=reject chain=forward in-interface=all-ppp out-interface=all-wireless reject-with=icmp-net-prohibited

!!! Reject в отличии от drop позволяет сообщить почему не доступен ресурс.

!!! Reject в отличии от drop, нет задержки.

!!! Reject желательно использовать в своих сетях

!!! ниже пример блокировки 80,443,8080 портов

/ip firewall filter

add action=reject chain=forward dst-port=80,443,8080 out-interface=ether1 protocol=tcp reject-with=tcp-reset

add action=reject chain=input dst-port=80,443,8080 in-interface=ether1 protocol=tcp reject-with=tcp-reset

!!! Пример блокировки сайтов по адрес листу

add action=reject chain=forward comment="BLOCK VK" dst-address-list=site-block dst-port=80,443 out-interface-list=WAN protocol=tcp reject-with=tcp-reset src-address-list=user-block

!!! Пример блокировки сети all-ppp из сети из сети all-wireless, при этом сообщаем причину запрета icmp-net-prohibited

add action=reject chain=forward in-interface=all-ppp out-interface=all-wireless reject-with=icmp-net-prohibited

Пример блокировки tarpit

!!! Tarpit работает следующим образом, постучавшему в порт посылается ACK с нулевым размером окна
!!! Постучавший будет ожидать появления окна авторизации.
!!! Иногда полезно при борьбе с ботами

/ip firewall filter
add action=tarpit chain=input dst-port=3389 in-interface=ether1 protocol=tcp

!!! Tarpit работает следующим образом, постучавшему в порт посылается ACK с нулевым размером окна

!!! Постучавший будет ожидать появления окна авторизации.

!!! Иногда полезно при борьбе с ботами

/ip firewall filter

add action=tarpit chain=input dst-port=3389 in-interface=ether1 protocol=tcp

Примеры блокировки drop

!!! Блокируем весь INVALID трафик INPUT,FORWARD, поступающий на интерфейс из списка WAN
/ip firewall filter
add action=drop chain=forward comment="DROP INVALID" connection-state=invalid in-interface-list=WAN
add action=drop chain=input comment="DROP INVALID" connection-state=invalid in-interface-list=WAN
!!! Блокируем весь трафик forward кроме dstnat поступающий на интерфейс из списка WAN
add action=drop chain=forward connection-nat-state=!dstnat connection-state="" in-interface-list=WAN

!!! Блокируем весь INVALID трафик INPUT,FORWARD, поступающий на интерфейс из списка WAN

/ip firewall filter

add action=drop chain=forward comment="DROP INVALID" connection-state=invalid in-interface-list=WAN

add action=drop chain=input comment="DROP INVALID" connection-state=invalid in-interface-list=WAN

!!! Блокируем весь трафик forward кроме dstnat поступающий на интерфейс из списка WAN

add action=drop chain=forward connection-nat-state=!dstnat connection-state="" in-interface-list=WAN

Включение fasttrack

!!! Обычно используется на домашних роутерах
!!! Fasttrack позволяет повысить производительность устройства
!!! Пакеты попавшие в conтectiont raker не обрабатываются firewall
!!! На эти соединения не действуют очереди и т.д.
/ip firewall filter
add action=fasttrack-connection chain=forward disabled=yes

!!! Обычно используется на домашних роутерах

!!! Fasttrack позволяет повысить производительность устройства

!!! Пакеты попавшие в conтectiont raker не обрабатываются firewall

!!! На эти соединения не действуют очереди и т.д.

/ip firewall filter

add action=fasttrack-connection chain=forward disabled=yes

NAT \ dst-nat \ src-nat

!!! dst-nat позволяет пробрасывать порт с микротока в локальную сеть например
!!! Гибко настраиваются, можно указывать списки, менять порты и т.д.
/ip firewall nat
add action=dst-nat chain=dstnat dst-port=22 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254
add action=dst-nat chain=dstnat dst-address=10.0.0.25 dst-port=22 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254
add action=dst-nat chain=dstnat dst-address=10.0.0.25 dst-port=80,22,443 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254
add action=dst-nat chain=dstnat dst-address=10.0.0.25 dst-port=33389 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254 to-ports=3389

!!! src-nat и masquerade позволяет подменять ип и порты (отправителя\получателя)
!!! используется для получения интернета в локальной сети 
!!! masquerade в теории медленнее работает чем src-nat, так как ему каждый раз приходится уточнять внешний адрес роутера для подстановки
add action=masquerade chain=srcnat disabled=yes out-interface=ether1
!!! в теории srcnat работает быстрее mascarade, нужно просто указать внешний адрес роутера (в примере 10.0.0.25)
add action=src-nat chain=srcnat out-interface=ether1 to-addresses=10.0.0.25

!!! netmap нужен при пересечение сетей, пример ниже с vpn, за vpn у обоих роутеров локальная сеть 10.1.1.0/24, костыль. 
add action=netmap chain=srcnat disabled=yes out-interface=all-ppp src-address=10.1.1.0/24 to-addresses=10.2.1.0/24
add action=netmap chain=dstnat disabled=yes dst-address=10.1.1.0/24 in-interface=all-ppp to-addresses=10.2.1.0/24

!!! dst-nat позволяет пробрасывать порт с микротока в локальную сеть например

!!! Гибко настраиваются, можно указывать списки, менять порты и т.д.

/ip firewall nat

add action=dst-nat chain=dstnat dst-port=22 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254

add action=dst-nat chain=dstnat dst-address=10.0.0.25 dst-port=22 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254

add action=dst-nat chain=dstnat dst-address=10.0.0.25 dst-port=80,22,443 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254

add action=dst-nat chain=dstnat dst-address=10.0.0.25 dst-port=33389 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254 to-ports=3389

!!! src-nat и masquerade позволяет подменять ип и порты (отправителя\получателя)

!!! используется для получения интернета в локальной сети

!!! masquerade в теории медленнее работает чем src-nat, так как ему каждый раз приходится уточнять внешний адрес роутера для подстановки

add action=masquerade chain=srcnat disabled=yes out-interface=ether1

!!! в теории srcnat работает быстрее mascarade, нужно просто указать внешний адрес роутера (в примере 10.0.0.25)

add action=src-nat chain=srcnat out-interface=ether1 to-addresses=10.0.0.25

!!! netmap нужен при пересечение сетей, пример ниже с vpn, за vpn у обоих роутеров локальная сеть 10.1.1.0/24, костыль.

add action=netmap chain=srcnat disabled=yes out-interface=all-ppp src-address=10.1.1.0/24 to-addresses=10.2.1.0/24

add action=netmap chain=dstnat disabled=yes dst-address=10.1.1.0/24 in-interface=all-ppp to-addresses=10.2.1.0/24

Стандартный конфиг из конспекта

!!! локальная сеть 172.16.3.0/24 LAN
!!! интернет по dhcp 10.0.0.25 WAN
!!! fastеrack включен
!!! своя цепочка icmp
!!! проброс порта 22 на 172.16.3.254
!!! из локальной сети можно куда угодно (Можно изменить правило forward drop !dst-nat, но тогда нужно будет городить еще правила для выхода )

/interface bridge
add name=br-lan
/interface list
add name=WAN
add name=LAN
/ip pool
add name=dhcp_172.16.3 ranges=172.16.3.2-172.16.3.254
/ip dhcp-server
add address-pool=dhcp_172.16.3 disabled=no interface=br-lan name=br-lan
/interface bridge port
add bridge=br-lan interface=ether2
add bridge=br-lan interface=ether3
add bridge=br-lan interface=ether4
add bridge=br-lan interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=!dynamic
/interface list member
add interface=ether1 list=WAN
add interface=br-lan list=LAN
/interface pptp-server server
set enabled=yes
/ip address
add address=172.16.3.1/24 interface=br-lan network=172.16.3.0
add address=10.1.1.1/24 interface=br-lan network=10.1.1.0
/ip dhcp-client
add disabled=no interface=ether1
/ip dhcp-server network
add address=172.16.3.0/24 dns-server=172.16.3.1 gateway=172.16.3.1
/ip dns
set allow-remote-requests=yes
/ip firewall address-list
add address=192.168.15.0/24 list=admin
add address=172.16.3.0/24 list=admin
add address=10.0.0.0/24 list=admin
add address=10.1.1.2 list=user-block
add address=10.1.1.0/24 list=user-block
add address=10.1.1.2-10.1.1.10 list=user-block
add address=vk.com list=site-block
add address=172.16.3.0/24 list=users-pc
/ip firewall filter
add action=passthrough chain=forward
add action=passthrough chain=input
add action=passthrough chain=output
add action=fasttrack-connection chain=forward
add action=jump chain=input comment="GO TO ICPM INPUT" jump-target=icmp protocol=icmp
add action=jump chain=forward comment="GO TO ICPM FORWARD" jump-target=icmp protocol=icmp
add action=accept chain=forward comment="Established Related Untracker" connection-state=established,related,untracked
add action=accept chain=input comment="Established Related Untracker" connection-state=established,related,untracked
add action=log chain=forward
add action=drop chain=forward comment="DROP INVALID" connection-state=invalid in-interface-list=WAN
add action=drop chain=input comment="DROP INVALID" connection-state=invalid in-interface-list=WAN
add action=accept chain=input dst-port=8291 in-interface-list=WAN protocol=tcp src-address-list=admin
add action=accept chain=forward dst-port=3389,22 in-interface-list=WAN protocol=tcp
add action=accept chain=forward dst-port=3389 out-interface-list=WAN protocol=tcp
add action=reject chain=forward comment="BLOCK VK" dst-address-list=site-block dst-port=80,443 out-interface-list=WAN protocol=tcp reject-with=tcp-reset src-address-list=user-block
add action=drop chain=forward connection-nat-state=!dstnat connection-state="" in-interface-list=WAN
add action=accept chain=icmp comment="echo reply" icmp-options=0:0 protocol=icmp
add action=accept chain=icmp comment="net unreachable" icmp-options=3:0 protocol=icmp
add action=accept chain=icmp comment="host unreachable" icmp-options=3:1 protocol=icmp
add action=accept chain=icmp comment="host unreachable fragmentation required" icmp-options=3:4 protocol=icmp
add action=accept chain=icmp comment="allow echo request" icmp-options=8:0 protocol=icmp
add action=accept chain=icmp comment="allow time exceed" icmp-options=11:0 protocol=icmp
add action=accept chain=icmp icmp-options=12:0 protocol=icmp
add action=drop chain=icmp comment="deny all other types"
/ip firewall nat
add action=dst-nat chain=dstnat dst-address=10.0.0.25 dst-port=22 in-interface=ether1 protocol=tcp to-addresses=172.16.3.254
add action=masquerade chain=srcnat disabled=yes out-interface=ether1
add action=src-nat chain=srcnat out-interface=ether1 to-addresses=10.0.0.25
/ip service
set ssh disabled=yes

!!! локальная сеть 172.16.3.0/24 LAN

!!! интернет по dhcp 10.0.0.25 WAN

!!! fastеrack включен

!!! своя цепочка icmp

!!! проброс порта 22 на 172.16.3.254

!!! из локальной сети можно куда угодно (Можно изменить правило forward drop !dst-nat, но тогда нужно будет городить еще правила для выхода )

/interface bridge

add name=br-lan

/interface list

add name=WAN

add name=LAN

/ip pool

add name=dhcp_172.16.3 ranges=172.16.3.2-172.16.3.254

/ip dhcp-server

add address-pool=dhcp_172.16.3 disabled=no interface=br-lan name=br-lan

/interface bridge port

add bridge=br-lan interface=ether2

add bridge=br-lan interface=ether3

add bridge=br-lan interface=ether4

add bridge=br-lan interface=ether5

/ip neighbor discovery-settings

set discover-interface-list=!dynamic

/interface list member

add interface=ether1 list=WAN

add interface=br-lan list=LAN

/interface pptp-server server

set enabled=yes

/ip address

add address=172.16.3.1/24 interface=br-lan network=172.16.3.0

add address=10.1.1.1/24 interface=br-lan network=10.1.1.0

/ip dhcp-client

add disabled=no interface=ether1

/ip dhcp-server network

add address=172.16.3.0/24 dns-server=172.16.3.1 gateway=172.16.3.1

/ip dns

set allow-remote-requests=yes

/ip firewall address-list

add address=192.168.15.0/24 list=admin

add address=172.16.3.0/24 list=admin

add address=10.0.0.0/24 list=admin

add address=10.1.1.2 list=user-block

add address=10.1.1.0/24 list=user-block

add address=10.1.1.2-10.1.1.10 list=user-block

add address=vk.com list=site-block

add address=172.16.3.0/24 list=users-pc

/ip firewall filter

add action=passthrough chain=forward

add action=passthrough chain=input

add action=passthrough chain=output

add action=fasttrack-connection chain=forward

add action=jump chain=input comment="GO TO ICPM INPUT" jump-target=icmp protocol=icmp

add action=jump chain=forward comment="GO TO ICPM FORWARD" jump-target=icmp protocol=icmp

add action=accept chain=forward comment="Established Related Untracker" connection-state=established,related,untracked

add action=accept chain=input comment="Established Related Untracker" connection-state=established,related,untracked

add action=log chain=forward

add action=drop chain=forward comment="DROP INVALID" connection-state=invalid in-interface-list=WAN

add action=drop chain=input comment="DROP INVALID" connection-state=invalid in-interface-list=WAN

add action=accept chain=input dst-port=8291 in-interface-list=WAN protocol=tcp src-address-list=admin

add action=accept chain=forward dst-port=3389,22 in-interface-list=WAN protocol=tcp

add action=accept chain=forward dst-port=3389 out-interface-list=WAN protocol=tcp