RouterOS防火墙NAT避坑实操指南

在 RouterOS 上配置防火墙和 NAT 是日常运维里最频繁的操作，但新手甚至有一定经验的人，都会在几个地方反复踩坑。下面结合几次真实故障，总结最该注意的几个点。 第一个坑是 filter 规则的顺序。RouterOS 的防火墙是逐条匹配、命中即执行的，规则从上往下走。很多人习惯把 accept 放行规则堆在最前面，结果后面更严格的 drop 规则永远匹配不到。正确做法是在 chain=input 和 chain=forward 末尾放一条 action=drop，放行规则写在前面，并善用 connection-state=established,related 快速放行已建立连接，既能降低 CPU 开销，也能避免把自己挡在门外。 第二个坑是误伤 WinBox 管理通道。在 input 链里直接 drop 所有 new 连接，会连你自己的 WinBox、SSH 一起拦掉。安全做法是先放行管理端口的来源 IP，例如只允许内网或指定公网 IP 访问 8291 和 22，再把其它 new 连接 drop 掉。更稳妥的还可以用 address-list 配合定时任务做临时放通，排查完再收回。 第三个坑是 NAT 回流（Hairpin NAT）没配。内网用户通过公网域名访问自己映射的服务时不通，常见原因就是缺少 chain=srcnat out-interface=bridge-LAN src-address=内网网段 action=masquerade 这条回环规则，或者 dstnat 之后没有对应的 srcnat 伪装。漏掉它，你会发现在办公室怎么都测不通自家发布的服务，外网却一切正常。 第四个坑是 masquerade 与 src-nat 混用导致断流。PPPoE 拨号获取的 IP 会变，出口必须用 masquerade；如果出口是固定 IP 却写成 masquerade，性能略差但问题不大。真正出问题的是同一出口既配了 masquerade 又配了 to-addresses 的 src-nat，连接状态表会混乱，表现为偶发断流、速度抖动。最后是备份习惯。改动之前先用 /export file=before-xxx 导出配置，或用 /system backup save 做二进制备份，并确认能传回本地。很多人改完才发现把默认网关删了，远程直接失联，只能跑机房按 reset 键。这几个点看着简单，但线上故障十有八九出在它们身上。建议每次变更都遵循先备份、小范围验证、再全量的流程，规则改动尽量放在运维窗口期内进行。