RouterOS防火墙规则配置实战：从入门到避坑指南

## 前言 RouterOS 作为 MikroTik 路由器的核心操作系统，其防火墙功能强大且灵活，但同时也因其"规则链"的设计理念让不少初学者感到困惑。本文将从实际运维角度出发，分享 RouterOS 防火墙规则配置的核心要点和常见避坑技巧。 ## 一、理解 RouterOS 防火墙的三个核心链 RouterOS 的防火墙基于 iptables 架构，三个最重要链是： ### 1. Input 链 处理目标是路由器本身的流量。所有访问路由器管理页面、SSH、Winbox 的流量都经过此链。这是路由器安全的第一道防线。 ### 2. Forward 链 处理经过路由器转发到其它设备的流量。局域网内设备访问互联网、端口映射到达内网服务器的流量都走此链。 ### 3. Output 链 处理路由器自身发出的流量。比如路由器向外发起 ping、DNS 查询、NTP 时间同步等。 ## 二、实战配置：安全基线规则 以下是一套经过生产环境验证的安全基线规则配置： ### 第1步：先放行已建立的连接 ```routeros /ip firewall filter add chain=input connection-state=established,related action=accept comment="允许已建立连接" ``` 这条规则必须放在最前面，它允许已通过验证的回程数据包通过，避免后续规则误拦正常通信。 ### 第2步：放行局域网管理访问 ```routeros /ip firewall filter add chain=input src-address=192.168.88.0/24 protocol=tcp dst-port=8291,22,80 action=accept comment="允许内网管理" ``` 只允许内网网段访问 Winbox(8291)、SSH(22) 和 Web(80) 管理端口。千万不要开放这些端口到公网！ ### 第3步：丢弃所有其它 Input 流量 ```routeros /ip firewall filter add chain=input action=drop comment="丢弃其他入站流量" ``` 这是默认拒绝策略，放在 Input 链的最末尾。 ### 第4步：Forward 链基础规则 ```routeros /ip firewall filter add chain=forward connection-state=established,related action=accept comment="允许已建立的转发连接" /ip firewall filter add chain=forward connection-state=invalid action=drop comment="丢弃无效连接" ``` ## 三、NAT 端口转发注意事项 端口转发是 RouterOS 运维中最常见的配置之一，但也是问题高发区。 ### 正确的端口转发配置 ```routeros /ip firewall nat add chain=dstnat protocol=tcp dst-port=443 in-interface=ether1 action=dst-nat to-addresses=192.168.88.10 to-ports=443 comment="HTTPS端口映射" ``` ### 常见误区 1. **忘记配置 Hairpin NAT**：如果内网设备需要通过公网 IP 访问内部服务器，必须额外配置 srcnat 规则： ```routeros /ip firewall nat add chain=srcnat src-address=192.168.88.0/24 dst-address=192.168.88.10 protocol=tcp dst-port=443 action=masquerade comment="Hairpin NAT" ``` 2. **规则顺序错误**：NAT 规则按从上到下的顺序匹配。如果泛匹配规则在前面，后续的精确规则永远不会生效。 3. **FastTrack 导致规则失效**：启用了 FastTrack 后，被 FastTrack 处理的连接将绕过后续防火墙过滤规则。如果需要精确控制流量，请谨慎使用 FastTrack。 ## 四、安全加固建议 ### 1. 关闭不必要的服务 ```routeros /ip service disable telnet,ftp,www,api /ip service set ssh port=2222 ``` ### 2. 限制管理访问来源 IP ```routeros /user set admin allowed-address=192.168.88.0/24 ``` ### 3. 配置端口敲门（Port Knocking） ```routeros /ip firewall filter add chain=input protocol=tcp dst-port=12345 action=add-src-to-address-list address-list=knock-stage1 address-list-timeout=10s comment="敲门第一阶段" /ip firewall filter add chain=input protocol=tcp dst-port=23456 src-address-list=knock-stage1 action=add-src-to-address-list address-list=knock-stage2 address-list-timeout=10s comment="敲门第二阶段" /ip firewall filter add chain=input protocol=tcp dst-port=8291 src-address-list=knock-stage2 action=accept comment="敲门成功后允许Winbox" ``` ## 五、排错方法论 当防火墙规则不生效时，按以下步骤排查： 1. **检查规则顺序**：使用 `/ip firewall filter print` 查看规则编号和计数是否增长 2. **查看日志**：在规则中添加 `log=yes log-prefix="DEBUG"` 观察匹配情况 3. **使用 Torch 工具**：Winbox 中的 Torch 可以实时查看接口流量，确认数据包是否到达路由器 4. **临时放行所有流量测试**：在排错时临时添加一条 `action=accept` 放在最前面，确认问题是否由防火墙引起 ## 六、总结 RouterOS 防火墙配置的核心在于理解三个链的作用域和规则的顺序匹配机制。记住一个黄金法则：先放行必要的流量，最后默认拒绝。在生产环境修改防火墙规则前，务必先通过 Safe Mode（安全模式）测试，避免把自己锁在路由器外面。 > 提示：在修改生产环境防火墙时，建议先开启 Safe Mode，修改完成后确认网络正常再退出 Safe Mode。如果配置出错导致断连，Safe Mode 会自动回滚配置。