# Основы Firewall

<p>Фаервол в MikroTik реализует как stateful (с отслеживанием состояния) (с использованием connection tracking), так и stateless (без отслеживания состояния) фильтрацию пакетов, обеспечивая функции безопасности для управления потоком данных к маршрутизатору, от него и через него.  
Вместе с технологией Network Address Translation (NAT) фаервол служит инструментом для предотвращения несанкционированного доступа к напрямую подключённым сетям и самому маршрутизатору, а также фильтром для исходящего трафика.</p>

<p>Сетевые фаерволы защищают внутренние сети от внешних угроз. Когда объединяются разные сети, всегда существует риск, что кто-то извне проникнет в локальную сеть (LAN).  
Такие вторжения могут привести к краже и распространению приватных данных, изменению или уничтожению ценной информации, либо полному удалению данных с дисков.  
Фаервол используется для предотвращения или минимизации рисков безопасности, связанных с подключением к другим сетям.  
Правильно настроенный фаервол играет ключевую роль в создании эффективной и безопасной сетевой инфраструктуры.</p>


<p>MikroTik RouterOS обладает очень мощной реализацией фаервола с возможностями, включая:</p>

<ul>
<li>проверку пакетов без отслеживания состояния (stateless packet inspection);</li>
<li>проверку пакетов с отслеживанием состояния (stateful packet inspection);</li>
<li>обнаружение протоколов уровня 7 (Layer-7 protocol detection);</li>
<li>фильтрацию пиринговых протоколов (peer-to-peer protocols filtering);</li>
<li>классификацию трафика по:</li>
<ul>
<li>MAC-адресу источника;</li>
<li>IP-адресам (сети или списки) и типам адресов (broadcast, local, multicast, unicast);</li>
<li>порту или диапазону портов;</li>
<li>IP-протоколам;</li>
<li>опциям протокола (ICMP type и code, TCP-флаги, IP options и MSS);</li>
<li>интерфейсу, через который пакет пришёл или ушёл;</li>
<li>внутренним отметкам потока и соединения (flow and connection marks);</li>
<li>DSCP байту;</li>
<li>содержимому пакета;</li>
<li>скорости поступления пакетов и номерам последовательности;</li>
<li>размеру пакета;</li>
<li>времени поступления пакета;</li>
<li>и многое другое!</li>
</ul>
</ul>

<p>Межсетевой экран разделен на три основных модуля:</p>
<ul>
  <li>filter/raw — используется для отказа в трафике на основе настроенных политик. Фильтрация в RAW таблицах позволяет экономить ресурсы, если не требуется отслеживание соединений.</li>
  <li>mangle — используется для маркировки определенных соединений, пакетов, потоков, установления приоритетов и выполнения других задач.</li>
  <li>nat — используется для установки правил преобразования адресов, перенаправлений и проброса портов.</li>
</ul>

<h4>Цепочки</h4>

<p>Правила фильтрации межсетевого экрана сгруппированы в цепочки. Это позволяет сопоставить пакет с одним общим критерием в одной цепочке, а затем передать на обработку по другим критериям в другую цепочку.</p>

<p>Например, пакет должен быть сопоставлен с парой IP адрес:порт. Конечно, это можно достичь, добавив столько правил с совпадением по IP адресу и порту, сколько требуется, в цепочку forward, но лучшим способом может быть добавление одного правила, которое соответствует трафику от определенного IP адреса. Затем можно добавить правила, которые проводят сопоставление по отдельным портам, в цепочку mychain без указания IP адресов.</p>

<pre><code>/ip firewall filter add chain=mychain protocol=tcp dst-port=22 action=accept
add chain=mychain protocol=tcp dst-port=23 action=accept
add chain=input src-address=1.1.1.2/32 jump-target="mychain"
</code></pre>

<p>При обработке цепочки правила берутся из цепочки в порядке их перечисления сверху вниз. Если пакет соответствует критериям правила, то выполняется указанное действие, и остальные правила в этой цепочке не обрабатываются (исключением является действие passthrough и некоторые операции Mangle).</p>

<p>Если пакет не соответствует ни одному правилу в цепочке, то он принимается.</p>

<p>Каждый модуль межсетевого экрана имеет свои предопределенные цепочки:</p>
<ul>
  <li><b>raw</b>:</li>
  <ul>
    <li>prerouting</li>
    <li>output</li>
  </ul>
  <li><b>filter</b>:</li>
  <ul>
    <li>input</li>
    <li>forward</li>
    <li>output</li>
  </ul>
  <li><b>mangle</b>:</li>
  <ul>
    <li>prerouting</li>
    <li>input</li>
    <li>forward</li>
    <li>output</li>
    <li>postrouting</li>
  </ul>
  <li><b>nat</b>:</li>
  <ul>
    <li>srcnat</li>
    <li>dstnat</li>
  </ul>
</ul>

<p>Более детальная обработка пакетов в RouterOS описана в диаграмме Packet Flow в RouterOS.</p>