​​Диагностика правил брандмауэра Mikrotik

Часто бывает так, что конфигурация брандмауэра работает не так, как предполагалось и поэтому приходится заниматься диагностикой.

С чего начать? Со счетчиков, если счетчики правила не изменяются, значит трафик, попадающий под критерии в него не доходит.

В этом случае делаем копию правила и обязательно включаем лог. Потом переносим его в самый верх - если счетчики пошли, то хорошо. Если нет - то вы неверно указали критерии. В этом случае убираем по одному и находим тот, из-за которого правило не работало.

Потом начинаем опускать его вниз и проверяем работоспособность. Не забываем каждый раз сбросить счетчик.

Как только правило перестало работать - начинаем разбираться почему. Можем точно также начать убирать критерии и смотреть какой из них неверный.

А можем убрать сразу все критерии и в логе посмотреть какие пакеты сюда доходят, иногда именно после этого все становится ясно.

Теперь о том, как убирать и добавлять критерии. Есть критерии общие, а есть частные. Общими являются те критерии, под которые попадают большинство проходящих правило пакетов, например интерфейсы входа и выхода.

Потом идут более узкие критерии, скажем, протокол и еще более узкие, такие как порт.

Поэтому убирать критерии начинаем частных к широким, добавляем наоборот.

А если ничего не помогает? То смотрим в правило, после которого перестало работать, возможно неверные критерии выставлены именно в нем.

Другая ситуация - все работает как надо, а счетчик правила не работает. В этом случае выше срабатывает какое-то обобщающее правило.

В этом случае делаем копию правила и передвигаем его наверх до тех пор, пока не заработает счетчик. После чего анализируем правило ниже.

А дальше есть два варианта. Ваше правило избыточно и достаточно обойтись одним обобщающим, либо текущее правило построено неверно и в него попадает лишний трафик.