RouterOS 防火墙与过滤详解RouterOS 能对包状态过滤；P2P 协议过滤；源和目标 NAT；对源 MAC、IP 地址、端口、IP 协议、协议ICMP、TCP、MSS 等、接口、对内部的数据包和连接作标记、ToS 字节、内容过滤、挨次优先与数据频繁和时间掌握、包长度掌握.下面是 RouterOS 对 IP 流的处理流程：RouterOS 防火墙类型MikroTik RouterOS 具备强大的防火墙，依据不同的环境和类别我们可以把RouterOS 的分未如下几个类型：从网络层上分类：分为二层过滤防火墙和三层与三层以上过滤防火墙，他们分别在 bridge filter 和 ip firewall filter 下进展操作，能对各层的数据进展处理。从数据传输上分类：分为 input、foreward 和 output 三种链表chain过滤， 不管是二层或者三层过滤上都包含这三个链表。同时 RouterOS 还支持自定义防火墙链表。如下面的 virus 病毒链表。我们可以通过 jump 命令将数据跳转到指定的链表。上面的图片是显示了几个自定义链表，除了我们在右上角，下拉菜单看到的input、forward、output 根本链表外all、dynamic、static 是系统状态链表， 可以看到自定义的 Robotdog、ICMP、virus 这三个链表。RouterOS IP firewall filter 工作原理下面是三条预先设置好了的 chains，他们是不被能删除的：input 用于处理进入路由器的数据包，即数据包目标 IP 地址是到达路由器一个接口的 IP 地址，经过路由器的数据包不会在 input-chains 处理。forward 用于处理通过路由器的数据包output 用于处理源于路由器并从其中一个接口出去的数据包。当处理一个 chain数据链，策略是从chain 列表的顶部从上而下执行的。即先进先出法First In First Out如图：我们通过先进先出法可以理解到，过滤数据时我们可以通过以下的两种原则“先丢弃后承受和先承受后丢弃”：现在我来看事例中的防火墙规章，我先从 input 链表开头，这里是对全部访问路由的数据进展过滤和处理：从 input 链表中可以看到，我们对进入路由器的数据承受先拒绝非法的数据和连接，并将 ICMP 数据跳转到自定义的 ICMP 的链表中过滤。下面是 forward 链表一个应用防火墙事例：forward 链表，我们首先拒绝大多数机器狗访问的目标地址，然后跳转到机器狗链表中对相应的域名和 IP 进展过滤，接下来是对非法数据包、TCP 连接数、非单播数据、ICMP 协议和常见的病毒等进展过滤。事例：下面是制止任何地址通过 TCP/135 端口访问到本地路由器，由于是访问本地路由器的数据，这里进入 input 链表进展操作：制止内网 192.168.1.100 的电脑上网，我们通过 forward 链表进展掌握：我们来看看 Jump 操作在 forward 链表中的工作过程：在 forward 中数据遇到 jump 规章，会推断数据是否符合定义 jump 规章，假设满足条件将跳转到指定的链表，如上图的 ICMP 和 virus 链表，当在数据进入这些链表执行完后，会返回 jump 规章所在的 forward 链表中。IP Firewall 协议深入解析TCP/IP 协议和构架我们首先理解一下，TCP/IP 体系构造:（1） 网络接口层网络接口层，也被称为网络访问层，包括了能使用 TCP/IP 与物理网络进展通信的协议，它对应 OSI 的物理层和数据链路层。TCP/IP 标准并没有定义具体的网络接口协议。具体的网络接口协议在实际应用的网络如 Ethernet、ATM、FDDI、X.25、PPP、Token-Ring 等中定义。（2） 网络层网络层是在 TCP/IP 标准中正式定义的第一层。网络层所执行的主要功能是处理来自传输层的分组，将分组形成数据包IP 数据包，并为该数据包进展路径选择，最终将数据包从源主机发送到目的主机，在网络层中，最常用是网络协议IP，其他一些协议用来帮助 IP 的操作。网络层的协议有：IP、ARP、RARP、ICMP、IGMP（3） 传输层TCP/IP 的传输层也被称为主机至主机层，与 OSI 的传输层类似，主要负责主机到主机之间的端对端通信，该层使用了两种协议来支持两种数据的传送方法，即TCP 协议和 UDP 协议。（4） 应用层在 TCP/IP 模型中，应用程序接口是最高层，它与 OSI 模型中的高三层的任务一样，用于供给网络效劳，比方文件传输、远程登录、域名效劳和简洁网络治理等。我们的 RouterOS 中，ip firewall filter 主要负责的是网络层、传输层和应用层，网络接口层则由 bridge filter 负责处理。我们从上面的图看到，在 RouterOS 的 filter 规章中，可以找到 Protocol协议的选项，我们可以依据状况，选择自己需要的协议。TCP/IP 协议是一族协议，包括上百个互为关联的协议，不同功能的协议分布在不同的协议层， 下面是几个常用协议：一、网际层协议 IP：网际协议 ARP：地址解析协议RARP：反向地址解析协议ICMP/ICMPv6：Internet 消息掌握协议IPCP and IPv6CP：IP 掌握协议和 IPV6 掌握协议IGMP：Internet 组治理协议二、传输层协议 TCP：传输掌握协议UDP：用户数据报协议RDP：牢靠数据协议，RDP 是一种面对连接的传输协议，其主要设计来为主机监控应用程序如下载 / 上传以及远程调试进展有效的大批数据传输。RUDP：牢靠用户数据报协议，RUDP 用于传输 IP 网络间的 信号。三、应用层协议应用层协议 ：超文本传输协议，用于 Internet 中的客户机与 WWW 效劳器之间的数据传输DHCP：动态主机配置协议，实现对主机的地址安排和配置工作 DNS：域名系统效劳系统，用于实现主机名与 IP 地址之间的映射FTP：文件传输协议，实现主机之间的文件传送 TFTP：简洁文件传输协议TELNET：TCP/IP 终端仿真协议又称远程登录协议，本地主机作为仿真终端， 登录到远程主机上运行应用程序 SMTP：简洁邮件传输协议，实现主机之间电子邮件的传送； IMAP4：因特网信息访问协议，用于访问存储在邮件效劳器系统内的电子邮件和电子公告板信息。 POPPOP3：邮局协议，用于用户与效劳器之间进展邮件的收发。 SNMP：简洁网络治理协议，实现网络的治理NNTP：网络闻传输协议UUCP：Unix 到 Unix 的拷贝程序BOOTP：引导协议，用于无盘主机或工作站的启动NFS：网络文件系统，实现主机之间的文件系统的共享NAT：网络地址转换IRCP/IRC：因特网在线谈天协议LDAP：轻量级名目访问协议NTP：网络时间协议RLOGIN：远程登录命令，仅支持 Unix 到 Unix 的连接。RMON：远程监控RWhois：远程名目访问协议SLP：效劳定位协议 SNTP：简洁网络时间协议Finger：用户信息协议IP 源地址和目标地址概念如何推断源地址和目标地址，与他们在 ip firewall filter 的链表，我们先看看下面的图：我们从该图上可以看到，内网主机 192.168.10.88 与路由器 192.168.10.1 通信的状况，内网主机 192.168.10.88 向路由和外网的 web 效劳器时，不同状况下源目标 IP 地址的转变和使用的 chain 链表状况。注：在这里要记住任何通信是双向的，而不仅只有源到目标一条链路。在 RouterOS 中两个选择涉及到源和目标地址，General 标签中的 src-address、dst-address 和 Advanced 的 src-address-list、dst-address-list 如以下图：Src-address 和 dst-address 可以支持子网格式，同样支持一段连续的地址如： “192.168.10.10-192.168.10.100”。在 src-address-list 和dst-address-list里需要调用/ip firewall address-list的地址列表，通过该地址列表可以设置不同地址段和不连续的 IP 地址。试验：1、 允许 192.168.10.9 和 192.168.10.15 能访问外网，制止其他地址访问外网数据2、 路由器有两段内网 IP 地址 192.168.10.0/24 和 192.168.11.0/24，制止这两个地址段互访，但允许 192.168.10.9 访问 192.168.11.9 的主机病毒和应用程序过滤在 RouterOS 中能做到内容过滤，即content，对一些明文传输的字符进展过滤， 特别是 web 中的内容上面是一个过滤 test 的域名过滤至于最的机器狗病毒我们可以通过导入机器狗的存在的病毒地址和域名进展过滤，我们在对机器狗目标地址过滤时调用了 address-list 的地址列表。我们在以下图中，我们看到对机器狗的目标地址掌握我们设置了dst-address-list 选择 Robotdog，而 Robotdog 定义则是在 ip firewall address-list 中定义：在 address-list 常用于某一组一样类型或属性的 IP 地址，但这些又不连续，则可以通过 address-list 来定义。以上的防火墙规章，可以在 :/ mikrotik .cn/down.asp 下载到。在 RouterOS3.0 中增加了 Layer7 协议过滤功能，即对应用程序的代码进展过滤， 这些代码我们通过 Regexp 的脚本进展编辑，也可以通过我们预先编辑好的RouterOS 脚本导入 Layer7 协议应用列表下载 :/ mikrotik .cn/down.asp我们可以同在 ip firewall filter 中调用，操作如下：我们可以同上面的列表看到，RouterOS 的 Layer7 协议能对常见的网络协议、网络程序和玩耍进展操作，依据我们需要进展拒绝、承受和跳转等。RouterOS 防火墙规章操作相比照较敏捷，相应的操作人员能把握常见的网络协议和原理， 操作中需要依据不同状况进展自定义，特别是防火墙前中上下构造能敏捷的处理。试验：