grifin.ru Posted March 16, 2017 В настройках FierWall'а Mikrotik'а есть вкладка IP ->services, на ней задаются сервиcы управления и разрешенные IP если настойки этой вкладки будут противоречить правилам INPUT межсетевого экрана, какие правила будут применяться ? Какая логика работы ? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Saab95 Posted March 16, 2017 Простая, если нет IP в списке, то не будет доступа. На файрвол это не влияет. Там своя система. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
grifin.ru Posted March 16, 2017 Saab95 Т.е. ограничения будут просуммированы ? Что-бы было "можно" нужно чтоб было разрешено и тут и в input ? Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Saab95 Posted March 16, 2017 Вообще если в сервисах и в настройках админов указали ограничения по IP, то они работают своим образом и никто из других сетей туда не попадет и никаких дополнительных правил на инпут не нужно. Лишние правила только вредят работе. Поэтому создавать вторые ограничения нет никакой надобности. Естественно, если сделаете вторые правила, то нужно в них настроить аналогичные разрешения доступа. Самое смешное это разные ограничения на перебор паролей и т.п., когда помечают соединения, для чего требуется включать контрак, а это снижает производительность роутера. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
kaist Posted March 16, 2017 Saab95 Т.е. ограничения будут просуммированы ? Что-бы было "можно" нужно чтоб было разрешено и тут и в input ? это совершенно разные вещи. Если в фаерволе допустим полностью запретить in на 22/tcp, то уже не важно что у вас прописано в acl на сервисе, доступа по ssh не будет. Если в фаерволе разрешить всем in на 22/tcp, но в acl сервиса прописать 192.168.0.0/24, то доступ по ssh будет только с этой сети. Пакет сначала обрабатывается фаерволом, только потом службами Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
Saab95 Posted March 16, 2017 это совершенно разные вещи. Если в фаерволе допустим полностью запретить in на 22/tcp, то уже не важно что у вас прописано в acl на сервисе, доступа по ssh не будет. Если в фаерволе разрешить всем in на 22/tcp, но в acl сервиса прописать 192.168.0.0/24, то доступ по ssh будет только с этой сети. Пакет сначала обрабатывается фаерволом, только потом службами Это все удобно, когда на роутере один IP, а если их много, то блокировать надо только извне на белые адреса, которых может быть несколько и они могут изменяться. Тогда нужно несколько правил по IP или по адрес листу. Либо блокировать все, а потом разрешать на определенные IP. Получается солянка из правил. Другой подход это использование нескольких микротиков, когда на пограничных сразу заблокирован доступ на SSH, тогда и на остальных ничего не надо делать. Это же касается и DNS - выгодно поднимать свой ДНС на микротике на сером IP, тогда не придется закрывать на него доступ извне. Вставить ник Quote Ответить с цитированием Share this post Link to post Share on other sites More sharing options...
