RouterOS防火墙实战：从零构建安全的网络防线

# RouterOS防火墙实战：从零构建安全的网络防线 RouterOS作为MikroTik路由器的核心操作系统，其防火墙功能是网络安全防护的第一道屏障。许多用户在部署RouterOS后往往忽略防火墙配置，导致设备暴露在潜在威胁之中。本文将从实战角度出发，逐步讲解如何构建一套完善的RouterOS防火墙规则体系。 ## 防火墙Filter基础 RouterOS防火墙基于Linux内核的Netfilter框架，通过filter表实现包过滤功能。防火墙规则按照chain（链）分类，最核心的三条链分别是： - **input链**：处理发往路由器自身的流量 - **forward链**：处理穿越路由器的转发流量 - **output链**：处理路由器自身发出的流量 理解这三条链的流量方向是配置防火墙的基础，任何规则都会挂在其中一条链上生效。 ## 安全配置原则 在开始配置前，需要牢记几个核心原则： 1. **默认拒绝**：将每条链的默认策略设为drop，仅放行明确允许的流量 2. **最小权限**：只开放必要的端口和服务 3. **分层防御**：在input和forward链上分别设置规则，形成纵深防御 4. **规则顺序**：防火墙规则从上到下匹配，顺序至关重要 ## 实战配置步骤 ### 第一步：建立地址列表 首先创建受信任的地址列表，用于后续规则引用： ``` /ip firewall address-list add address=192.168.88.0/24 list=LAN add address=10.0.0.0/8 list=BOGON add address=172.16.0.0/12 list=BOGON add address=192.168.0.0/16 list=BOGON ``` ### 第二步：配置Input链 Input链保护路由器自身，是最关键的安全防线： ``` /ip firewall filter add chain=input action=accept protocol=icmp comment="Allow ICMP" add chain=input action=accept in-interface-list=LAN comment="Accept from LAN" add chain=input action=accept connection-state=established,related comment="Accept established" add chain=input action=drop connection-state=invalid comment="Drop invalid" add chain=input action=drop comment="Drop all other" ``` 这段规则允许局域网访问路由器、放行已建立的连接、拒绝无效包和其余所有流量。 ### 第三步：配置Forward链 Forward链控制经过路由器的转发流量： ``` /ip firewall filter add chain=forward action=accept in-interface-list=LAN out-interface-list=WAN comment="LAN to WAN" add chain=forward action=accept connection-state=established,related comment="Accept established" add chain=forward action=drop connection-state=invalid comment="Drop invalid" add chain=forward action=drop out-interface-list=WAN src-address-list=BOGON comment="Drop bogon from WAN" add chain=forward action=drop comment="Drop all other" ``` ### 第四步：防御常见攻击 利用Raw表加速过滤，在连接跟踪前丢弃恶意包： ``` /ip firewall raw add chain=prerouting action=drop src-address-list=BOGON in-interface-list=WAN comment="Drop bogon" add chain=prerouting action=accept connection-state=established,related comment="Accept tracked" ``` 同时在Filter中添加防端口扫描规则： ``` /ip firewall filter add chain=input action=add-src-to-address-list protocol=tcp psd=21,3s,3,1 address-list=port-scanners address-list-timeout=2w comment="Detect scanners" add chain=input action=drop src-address-list=port-scanners comment="Drop scanners" ``` ## 规则验证与维护 配置完成后，通过`/ip firewall filter print`检查规则顺序，确保无遗漏。建议定期查看防火墙日志，使用`/log print`命令排查异常流量。将默认策略设为drop前，务必确认所有必要端口已放行，避免被锁定在路由器之外。 RouterOS防火墙的强大之处在于其灵活性，通过合理组合chain、address-list和connection-state，可以构建出适应各种场景的安全策略。安全不是一次性配置，而是持续的运维过程，定期审视和优化规则才能确保网络长治久安。