firewall mikrotik найти команд как у cisco/huawei

@yalwaysme · Регистрация: 11.03.2019

Author24 — интернет-сервис помощи студентам

Здравствуйте коллеги! Возможно море тем на этот вопрос но как добавить acl (пример мой хуавей)

acl name LAN_TO_INT 3999
rule 10 deny ip source 10.129.4.0 0.0.0.255 destination 10.1.19.53 0
rule 20 deny ip source 10.129.4.0 0.0.0.255 destination 10.1.19.52 0
rule 30 deny ip source 10.129.4.0 0.0.0.255 destination 10.121.1.11 0
rule 35 deny ip source 10.129.4.0 0.0.0.255 destination 10.149.4.0 0.0.0.255
rule 40 permit ip source 10.129.4.0 0.0.0.255

вот эти команды на микротике

Добавлено через 11 минут
deny типо chain=forward action=reject reject-with=icmp-network-unreachable
src-address=10.129.4.0/24 dst-address=10.1.19.53 log=no log-prefix="
а permit add chain=input src-address10.129.4.0 так выглядит?

@yalwaysme · 30.01.2020, 08:34 **[ТС]**

Чтобы ip адреса уходили не за нат а на внутренный сервер

@insect_87 · 30.01.2020, 09:03

Нужно понимание: принадлежат ли адреса из вашего ACL самому mikrotik?

Расширенные ACL в cisco и huawei вешают на интерфейсы L3 портов и VLAN: соответственно на вход и выход с интерфейса.

В mikrotik же трафик фильтруется в firewall filter по соответствующим цепочкам:
input - трафик, предназначенный самому микротику, входящий на микротик трафик
forward - транзитный трафик, проходящий через микротик трафик, не инициируемый им самим и не предназначенный ему.
output - трафик, который инициирует сам микротик, исходящий с микротика трафик

Может выложите полный конфиг с huawei (dis cur).
Тогда можно будет перевести правила на firewall mikrotik'а

@yalwaysme · 30.01.2020, 09:17 **[ТС]**

Код

 sysname hua_proj_office
#
 clock timezone AST add 06:00:00
#
ipv6
#
vlan batch 180 1505 1848
#
authentication-profile name default_authen_profile
authentication-profile name dot1x_authen_profile
authentication-profile name mac_authen_profile
authentication-profile name portal_authen_profile
authentication-profile name dot1xmac_authen_profile
authentication-profile name multi_authen_profile
#
dhcp enable
#
vlan 180
 description corp
vlan 1505
 description MNG
vlan 1848
 description INTERNET
#
radius-server template default
#
pki realm default
#
ssl policy default_policy type server
 pki-realm default
 version tls1.0 tls1.1 
 ciphersuite rsa_aes_128_cbc_sha 
#
acl name LAN_TO_INT 3999  
 rule 10 deny ip source 10.129.4.0 0.0.0.255 destination 10.1.19.53 0 
 rule 20 deny ip source 10.129.4.0 0.0.0.255 destination 10.1.19.52 0 
 rule 30 deny ip source 10.129.4.0 0.0.0.255 destination 10.121.1.11 0 
 rule 35 deny ip source 10.129.4.0 0.0.0.255 destination 10.149.4.0 0.0.0.255 
 rule 40 permit ip source 10.129.4.0 0.0.0.255 
#
ike proposal default
 encryption-algorithm aes-256 
 dh group14 
 authentication-algorithm sha2-256 
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256 
 prf hmac-sha2-256 
#
free-rule-template name default_free_rule
#
portal-access-profile name portal_access_profile
#
dhcp server group LAN 
#
ip pool 1
 gateway-list 10.129.4.111 
 network 10.129.4.0 mask 255.255.255.0 
 excluded-ip-address 10.129.4.1 10.129.4.99 
 excluded-ip-address 10.129.4.151 10.129.4.254 
 lease day 2 hour 0 minute 0              
 dns-list 10.129.4.111  
#
aaa
 authentication-scheme default
 authentication-scheme radius
  authentication-mode radius
 authorization-scheme default
 accounting-scheme default
 domain default
  authentication-scheme default
 domain default_admin
  authentication-scheme default
 undo local-user admin
 local-user x password irreversible-cipher $1a$B7s}C|A1h>$IIiv7pr|{7I/PQEL82SD;B4F;h:",Oo6GY6tV>qH$
 local-user x privilege level 15
 local-user x service-type ssh
#
firewall zone Local                       
#
interface Vlanif180
 ip address 10.129.4.111 255.255.255.0
 dhcp select global
#
interface Vlanif1505
 ip address x.x.x.x 255.255.255.128
#
interface Vlanif1848
 ip address x.x.x.x 255.255.255.252
 nat outbound 3999 
#
ip route-static 0.0.0.0 0.0.0.0 public_ip
ip route-static 10.1.19.0 255.255.255.0 10.129.4.1
ip route-static 10.121.1.0 255.255.255.0 10.129.4.1
#
secelog
#

@insect_87 · 30.01.2020, 12:46

Код

/ip firewall address-list 
add address=10.1.19.53 list=BLACK_LIST
add address=10.1.19.52 list=BLACK_LIST
add address=10.121.1.11 list=BLACK_LIST
add address=10.149.4.0/24 list=BLACK_LIST

/ip firewall filter 
add action=drop chain=forward src-address=10.129.4.0/24 dst-address-list=BLACK_LIST             

/ip firewall nat
add action=masquerade chain=srcnat src-address=10.129.4.0/24 out-interface=WAN

для nat можно и другое правило:

Код

/ip firewall nat
add action=src-nat chain=srcnat src-address=10.129.4.0/24 out-interface=WAN to-addresses=x.x.x.x

WAN - имя интерефейса, аналогичного interface Vlanif1848, x.x.x.x - его статический адрес

@yalwaysme · 30.01.2020, 13:13 **[ТС]**

Сообщение от insect_87

для nat можно и другое правило:
Код
/ip firewall nat
add action=src-nat chain=srcnat src-address=10.129.4.0/24 out-interface=WAN to-addresses=x.x.x.x

Это для общего nat'a?
а этот как добавочная к уже существующему nat'у или наоборот?

Сообщение от insect_87

/ip firewall nat
add action=masquerade chain=srcnat src-address=10.129.4.0/24 out-interface=WAN

а этот как добавочная к уже существующему nat'у или наоборот?

@insect_87 · 30.01.2020, 14:23

Это для общего nat'a?
а этот как добавочная к уже существующему nat'у или наоборот?

Masquerade является формой srcnat, но без необходимости уточнения to-address – IP адрес исходящего интерфейса назначается автоматически.

что-то одно для NAT'а оставьте, я просто предложил два варианта, если у вас на WAN интерфейсе адрес статический, то лучше использовать правило с action=src-nat
если же адрес динамический, то с action=masquerade

Новые блоги и статьи
Книги и учебные ресурсы по C# InfoMaster 08.01.2025 Базовые учебники и руководства Одной из лучших книг для начинающих является "C# 10 и . NET 6 для начинающих" Эндрю Троелсена и Филиппа Джепикса . Книга последовательно раскрывает основные концепции. . .	Что такое NullReferenceException и как исправить? InfoMaster 08.01.2025 NullReferenceException - одно из самых распространенных исключений, с которым сталкиваются разработчики на C#. Это исключение возникает при попытке обратиться к членам объекта (методам, свойствам или. . .	Что такое Null Pointer Exception (NPE) и как это исправить? InfoMaster 08.01.2025 Null Pointer Exception (NPE) - это одно из самых распространенных исключений в Java, которое возникает при попытке использовать ссылку на объект, значение которой равно null. Это исключение относится. . .	Русский язык в консоли C++ InfoMaster 08.01.2025 При разработке программ на C++ одной из частых проблем, с которой сталкиваются русскоязычные программисты, является корректное отображение кириллицы в консольных приложениях. Эта проблема особенно. . .	Telegram бот на C# InfoMaster 08.01.2025 Разработка ботов для Telegram стала неотъемлемой частью современной экосистемы мессенджеров. C# предоставляет мощный и удобный инструментарий для создания разнообразных ботов, от простых. . .	Использование GraphQL в Go (Golang) InfoMaster 08.01.2025 Go (Golang) является одним из наиболее популярных языков программирования, используемых для создания высокопроизводительных серверных приложений. Его архитектурные особенности и встроенные. . .
Что лучше использовать при создании класса в Java: сеттеры или конструктор? Alexander-7 08.01.2025 Вопрос подробнее: На вопрос: «Когда одновременно создаются конструктор и сеттеры в классе – это нормально?» куратор уточнил: «Ваш класс может вообще не иметь сеттеров, а только конструктор и геттеры. . .	Как работать с GraphQL на TypeScript InfoMaster 08.01.2025 Введение в GraphQL и TypeScript В современной разработке веб-приложений GraphQL стал мощным инструментом для создания гибких и эффективных API. В сочетании с TypeScript, эта технология. . .	Счётчик на базе сумматоров + регистров и генератора сигналов согласования. Hrethgir 07.01.2025 Создан с целью проверки скорости асинхронной логики: ранее описанного сумматора и предополагаемых fast регистров. Регистры созданы на базе ранее описанного, предполагаемого fast триггера. То-есть. . .	Как перейти с Options API на Composition API в Vue.js BasicMan 06.01.2025 Почему переход на Composition API актуален В мире современной веб-разработки фреймворк Vue. js продолжает эволюционировать, предлагая разработчикам все более совершенные инструменты для создания. . .	Архитектура современных процессоров inter-admin 06.01.2025 Процессор (центральный процессор, ЦП) является основным вычислительным устройством компьютера, которое выполняет обработку данных и управляет работой всех остальных компонентов системы. Архитектура. . .	История создания реляционной модели баз данных, правила Кодда Programming 06.01.2025 Предпосылки создания реляционной модели В конце 1960-х годов компьютерная индустрия столкнулась с серьезными проблемами в области управления данными. Существовавшие на тот момент модели данных -. . .

@yalwaysme 0 / 0 / 0 Регистрация: 11.03.2019 Сообщений: 21
		1
	firewall mikrotik найти команд как у cisco/huawei 29.01.2020, 19:51. Показов 2730. Ответов 6 Метки acl, cisco, firewall, huawei, mikrotik (Все метки) Здравствуйте коллеги! Возможно море тем на этот вопрос но как добавить acl (пример мой хуавей) acl name LAN_TO_INT 3999 rule 10 deny ip source 10.129.4.0 0.0.0.255 destination 10.1.19.53 0 rule 20 deny ip source 10.129.4.0 0.0.0.255 destination 10.1.19.52 0 rule 30 deny ip source 10.129.4.0 0.0.0.255 destination 10.121.1.11 0 rule 35 deny ip source 10.129.4.0 0.0.0.255 destination 10.149.4.0 0.0.0.255 rule 40 permit ip source 10.129.4.0 0.0.0.255 вот эти команды на микротике Добавлено через 11 минут deny типо chain=forward action=reject reject-with=icmp-network-unreachable src-address=10.129.4.0/24 dst-address=10.1.19.53 log=no log-prefix=" а permit add chain=input src-address10.129.4.0 так выглядит? 0

@yalwaysme 0 / 0 / 0 Регистрация: 11.03.2019 Сообщений: 21
	30.01.2020, 08:34 [ТС]	2
	Чтобы ip адреса уходили не за нат а на внутренный сервер 0

@insect_87 Модератор 11432 / 7001 / 1903 Регистрация: 25.12.2012 Сообщений: 29,398
	30.01.2020, 09:03	3
	Нужно понимание: принадлежат ли адреса из вашего ACL самому mikrotik? Расширенные ACL в cisco и huawei вешают на интерфейсы L3 портов и VLAN: соответственно на вход и выход с интерфейса. В mikrotik же трафик фильтруется в firewall filter по соответствующим цепочкам: input - трафик, предназначенный самому микротику, входящий на микротик трафик forward - транзитный трафик, проходящий через микротик трафик, не инициируемый им самим и не предназначенный ему. output - трафик, который инициирует сам микротик, исходящий с микротика трафик Может выложите полный конфиг с huawei (dis cur). Тогда можно будет перевести правила на firewall mikrotik'а 0

@yalwaysme 0 / 0 / 0 Регистрация: 11.03.2019 Сообщений: 21
	30.01.2020, 13:13 [ТС]	6
	Сообщение от insect_87 для nat можно и другое правило: Код /ip firewall nat add action=src-nat chain=srcnat src-address=10.129.4.0/24 out-interface=WAN to-addresses=x.x.x.x Это для общего nat'a? а этот как добавочная к уже существующему nat'у или наоборот? Сообщение от insect_87 /ip firewall nat add action=masquerade chain=srcnat src-address=10.129.4.0/24 out-interface=WAN а этот как добавочная к уже существующему nat'у или наоборот? 0

@insect_87 Модератор 11432 / 7001 / 1903 Регистрация: 25.12.2012 Сообщений: 29,398
	30.01.2020, 14:23	7
	Это для общего nat'a? а этот как добавочная к уже существующему nat'у или наоборот? Masquerade является формой srcnat, но без необходимости уточнения to-address – IP адрес исходящего интерфейса назначается автоматически. что-то одно для NAT'а оставьте, я просто предложил два варианта, если у вас на WAN интерфейсе адрес статический, то лучше использовать правило с action=src-nat если же адрес динамический, то с action=masquerade 0

firewall mikrotik найти команд как у cisco/huawei

Решение