MikroTik RouterOS防火墙规则避坑指南

## 引言 RouterOS 是 MikroTik 设备的核心操作系统，其防火墙功能强大但也容易因配置不当引发问题。本文总结几个实际运维中最常遇到的坑，帮助大家少走弯路。 ## 坑一：FastTrack 规则放错位置 FastTrack 是 RouterOS 的"快速通道"，匹配的数据包会绕过后续所有过滤规则，直接进入转发。新手常犯的错误是把 FastTrack 规则放在过滤规则的中间位置，导致后面精心配置的规则全部失效。 **正确做法**：FastTrack 规则必须放在 `/ip firewall filter` 的最顶部。如果前面有接受规则匹配到了连接，FastTrack 就不会生效。先用 `accept established,related` 规则放行已有连接，然后再放置 FastTrack 规则，最后才是具体的过滤规则。 ``` /ip firewall filter add chain=forward action=accept connection-state=established,related comment="允许已建立连接" add chain=forward action=fasttrack-connection connection-state=established,related comment="FastTrack加速" add chain=forward action=accept ... comment="具体放行规则" add chain=forward action=drop comment="默认拒绝" ``` ## 坑二：Input Chain 缺少防护 很多管理员只配置 forward 链的规则，忘记保护路由器自身。如果 input chain 全是 accept，SSH 和 WinBox 端口直接暴露在公网上。扫描器可以在几分钟内发现你的设备并开始暴力破解。 **正确做法**：在 input chain 顶部设置防护，只允许内网 IP 访问管理界面，或使用地址列表白名单管理。 ``` /ip firewall filter add chain=input action=accept connection-state=established,related add chain=input action=accept protocol=icmp add chain=input action=accept src-address-list=admin_ips comment="仅允许管理IP" add chain=input action=drop comment="拒绝其他input" ``` ## 坑三：端口转发的 NAT 环回问题 配置了 dst-nat 把公网 IP 的 443 端口映射到内网服务器后，内网用户用公网域名无法访问。这是因为请求从内网发出、目标 IP 变成内网服务器后，服务器直接回包给客户端，客户端收到的源 IP 与期望不符而丢弃。 **正确做法**：添加 src-nat 规则做 Hairpin NAT（也叫 NAT 环回），让内网访问公网 IP 时也经过路由器 NAT，确保流量路径一致： ``` /ip firewall nat add chain=srcnat src-address=192.168.1.0/24 dst-address=192.168.1.100 protocol=tcp dst-port=443 out-interface=bridge action=masquerade ``` ## 坑四：规则顺序导致的性能问题 防火墙规则是从上到下逐条匹配的，如果把高频命中的规则放在最底部，每个数据包都要遍历几十条规则。在流量大的环境下，CPU 占用会明显升高。 **正确做法**：把大概率匹配的规则（如 established,related 连接、FastTrack）放在最前面，具体的放行规则放在中间，最后的 drop 兜底。 ## 总结 RouterOS 防火墙功能强大但细节决定成败。记住关键原则：理解数据包流经的链条顺序、优先使用连接追踪减少规则匹配开销、时刻关注 input chain 的安全防护、配置 NAT 时考虑内网访问场景。定期用 `/ip firewall filter print stats` 查看每条规则的命中情况，及时优化不合理的规则排序。养成良好的备份习惯，每次修改前先 `/export file=backup`，出问题可以快速回滚。希望这篇指南能帮你避开这些常见的坑。 *本文基于 RouterOS v7.x 版本撰写，部分命令在 v6.x 中可能略有差异，请根据实际版本调整。*