👋 Привет, сетевой друг!

Расскажу еще о 3 способах прокачать защиту Mikrotik.

🟣Фильтрация трафика на уровне WAN (Input Hygiene): Даже если ACL настроен, хорошо бы «почистить» сам входящий поток. RPF, Drop Invalid и базовые фильтры избавят лог от мусора и снизят нагрузку.

# блокируем мусорные пакеты
/ip firewall filter add chain=input connection-state=invalid action=drop comment="drop invalid"

# включаем защиту от подмены исходных IP (RPF)
/ip firewall filter add chain=input src-address=!YOUR_WAN_NET in-interface-list=WAN action=drop comment="rp-filter"

# блокируем входящие Winbox/SSH с любого, не входящего в whitelist
/ip firewall filter add chain=input in-interface-list=WAN protocol=tcp dst-port=39229,2222 src-address-list=!admin_allowed action=drop

🟣Защита от сканеров портов (Port Scan Defense): Сканируют всех - MikroTik тоже. Добавим автоматическое помещение в blacklist при подозрительной активности.

# ловим портскан
/ip firewall filter add chain=input protocol=tcp psd=21,3s,3,1 action=add-src-to-address-list \
    address-list=blacklist address-list-timeout=1d comment="port scan detect"

# сразу блокируем
/ip firewall filter add chain=input src-address-list=blacklist action=drop

🟣Скоростные лимиты для DoS/флудов (Rate-Limits): Ограничения connection-rate помогают, когда кто-то пытается открыть сотни соединений за секунду.

# ограничиваем скорость открытия соединений
/ip firewall filter add chain=input protocol=tcp connection-limit=50,32 action=add-src-to-address-list \
    address-list=dosers address-list-timeout=10m comment="possible DoS"

/ip firewall filter add chain=input src-address-list=dosers action=drop comment="drop DoS"

Серверная Админа | #Mikrotik