Witam.
Po konfiguracji pierwszego w życiu Mikrotika mam kilka pytań i proszę o pomoc
Pierwsze pytanie to czy dobrze zabezpieczyłem firewalla:
Czy powinienem jeszcze coś dopisać?
Drugie pytanie dotyczy pierwszych dwóch wpisów z firewalla - na sprzętowym porcie 2 mam podłączone wifi ana portach 3-5 bridge lan. Chcę odseparować interfejs bridge od wifi tak aby wifi miało tylko dostęp do internetu i do niczego więcej. Niestety mimo prób (pierwsze dwie pozycje firewall) nie udało mi się samemu nic wymyślić.
Trzeci problem jest taki, że muszę wystawić rejestrator CCTV na zewnątrz. Kiedy zrobiłem przekierowanie port 80 na wew adres rejestratora wszystkie komputery w sieci straciły port 80 - nie można było przeglądać www - wszystko inne działało. Niestety nie mogę zrozumieć dlaczego tak się dzieje i co trzeba zrobić aby przekierować port 80 na rejestrator bez zakłócania ruchu na innych komputerach.
Bardzo proszę o pomoc.
Po konfiguracji pierwszego w życiu Mikrotika mam kilka pytań i proszę o pomoc
Pierwsze pytanie to czy dobrze zabezpieczyłem firewalla:
/ip firewall filter
add action=drop chain=forward comment="Blokuj komunikacj\EA z LAN na WIFI" \
disabled=yes in-interface=ether2-WIFI out-interface=bridge
add action=drop chain=forward comment="Blokuj komunikacj\EA z WIFI na LAN" \
disabled=yes in-interface=bridge out-interface=ether2-WIFI
add chain=input comment="akceptuj HTTP" dst-port=80 protocol=tcp
add chain=input comment="akceptuj ICMP" protocol=icmp
add chain=input comment="akceptuj SSH" disabled=yes dst-port=22 protocol=tcp
add chain=input comment="akceptuj TELNET" disabled=yes dst-port=23 protocol=tcp
add chain=input comment=" akceptuj WinBox" dst-port=8291 protocol=tcp
add chain=input comment=" akceptuj zapytania DNS (UDP)" dst-port=53 \
in-interface=bridge protocol=udp
add chain=input comment=" akceptuj zapytania DNS (TCP)" dst-port=53 \
in-interface=bridge protocol=tcp
add chain=input comment=" akceptuj polaczenia zestawione" connection-state=\
established
add chain=input comment=" akceptuj polaczenia powiazane" connection-state=\
related
add action=drop chain=input comment=" blokuj wszystko inne" \
connection-nat-state=srcnat,dstnat log=yes log-prefix=\
"blokuj wszystko inne"
add action=drop chain=input dst-port=0-65535 protocol=tcp
/ip firewall mangle
add action=mark-connection chain=forward new-connection-mark=users-con \
src-address=192.168.1.0/24
add action=mark-packet chain=forward connection-mark=users-con new-packet-mark=\
users
add action=mark-connection chain=forward new-connection-mark=users-con \
src-address=192.168.55.0/24
add action=mark-packet chain=forward connection-mark=users-con new-packet-mark=\
users
/ip firewall nat
add action=masquerade chain=srcnat comment="Translacja adres\F3w" \
out-interface=ether1-WAN
add action=dst-nat chain=dstnat comment=\
"Dost\EAp z zewn\B9trz dla NAS - g\B3\F3wny serwer plik\F3w" dst-port=1000 \
protocol=tcp to-addresses=192.168.1.20 to-ports=80
add action=dst-nat chain=dstnat comment=\
"Dost\EAp z zewn\B9trz dla NAS - pomocniczy serwer plik\F3w" dst-port=1001 \
protocol=tcp to-addresses=192.168.1.21 to-ports=80
add action=dst-nat chain=dstnat comment=\
"Dost\EAp z zewn\B9trz dla komputer serwis HP" dst-port=3333 protocol=tcp \
to-addresses=192.168.1.100 to-ports=3389
add action=dst-nat chain=dstnat comment="Dost\EAp z zewn\B9trz dla serwer SQL" \
dst-port=222 protocol=tcp to-addresses=192.168.1.99 to-ports=22
add action=dst-nat chain=dstnat comment=\
"Dost\EAp z zewn\B9trz dla rejestratora CCTV" disabled=yes dst-port=80 \
protocol=tcp to-addresses=192.168.1.10 to-ports=80
add action=dst-nat chain=dstnat comment=\
"Dost\EAp z zewn\B9trz dla rejestratora CCTV" dst-port=2000-2007 protocol=\
tcp to-addresses=192.168.1.100 to-ports=2000-2007
add action=dst-nat chain=dstnat comment=\
"Dost\EAp z zewn\B9trz dla rejestratora CCTV" dst-port=50100 protocol=tcp \
to-addresses=192.168.1.10 to-ports=50100
add action=dst-nat chain=dstnat comment="OpenDNS redirect" dst-port=53 \
protocol=udp to-addresses=208.67.222.222 to-ports=53
add action=dst-nat chain=dstnat comment="OpenDNS redirect" dst-port=53 \
protocol=tcp to-addresses=208.67.222.222 to-ports=53
add action=dst-nat chain=dstnat comment="Serwer FTP " dst-port=21 log=yes \
protocol=tcp to-addresses=192.168.1.20 to-ports=21
[admin@MikroTik] /ip firewall>
Czy powinienem jeszcze coś dopisać?
Drugie pytanie dotyczy pierwszych dwóch wpisów z firewalla - na sprzętowym porcie 2 mam podłączone wifi ana portach 3-5 bridge lan. Chcę odseparować interfejs bridge od wifi tak aby wifi miało tylko dostęp do internetu i do niczego więcej. Niestety mimo prób (pierwsze dwie pozycje firewall) nie udało mi się samemu nic wymyślić.
Trzeci problem jest taki, że muszę wystawić rejestrator CCTV na zewnątrz. Kiedy zrobiłem przekierowanie port 80 na wew adres rejestratora wszystkie komputery w sieci straciły port 80 - nie można było przeglądać www - wszystko inne działało. Niestety nie mogę zrozumieć dlaczego tak się dzieje i co trzeba zrobić aby przekierować port 80 na rejestrator bez zakłócania ruchu na innych komputerach.
Bardzo proszę o pomoc.
