“防火墙 NAT 配置” 的检索结果

防火墙与 QoS / 源地址转换（Source NAT） — ### 源地址转换（Source NAT） 如果你想把本地设备隐藏在 ISP 分配给你的公网 IP 之后，就应该配置 MikroTik 路由器的源地址转换（masquerading）功能。 假设你想把办公室的电脑和服务器都隐藏在公网 IP 172.16.16.1 之后，规则如下： ```ros /ip/firewall/nat/add chain=srcnat src-address=10.0.0.0/24 action=src-nat to-a...

防火墙与 QoS / 伪装本地网络 — ### 伪装本地网络 为了让路由器后方的本地设备能够访问互联网，必须对本地网络进行伪装。在大多数情况下，建议使用 src-nat 而不是 masquerade，但在这种情况下，当 WAN 地址是动态的时，它是唯一的选择。 ```ros /ip/firewall/nat add action=accept chain=srcnat comment="defconf: accept all that matches IPSec policy" ip...

桥接与交换 / 网桥防火墙 — ## 网桥防火墙 --- 网桥防火墙实现数据包过滤，从而提供用于管理发往网桥、来自网桥以及经过网桥的数据流的安全功能。 [数据包流图](../firewall-and-quality-of-service/packet-flow-in-routeros.md) 显示了数据包如何经过路由器处理。可以强制网桥流量经过 `/ip/firewall/filter` 规则（参见网桥设置）。 有两个网桥防火墙表： - **filter** - 具有三个预定义...

防火墙与 QoS / Filter — # Filter 防火墙 filter 用于允许或阻止转发到本地网络、源自路由器或发往路由器的特定数据包。 有两种设置过滤的方法： - 允许特定流量，丢弃其他所有流量。 - 只丢弃恶意流量，允许其他所有流量。 两种方法各有利弊。例如，从安全角度看，第一种方法安全得多，但每当需要放行新服务的流量时，都需要管理员介入。该策略能很好地控制流量，并降低因服务配置错误而被攻破的可能性。 另一方面，在保护客户网络时，要放行用户可能使用的所有服务，对管理...

桥接与交换 / 网桥防火墙 — ## 网桥防火墙 --- 网桥防火墙实现数据包过滤，从而提供用于管理进出网桥以及穿过网桥的数据流的安全功能。 [数据包流图](../firewall-and-quality-of-service/packet-flow-in-routeros.md) 显示了数据包如何通过路由器处理。可以强制网桥流量经过 `/ip/firewall/filter` 规则（请参阅网桥设置）。 有两个网桥防火墙表： - **filter** - 具有三个预定义链的网桥...

防火墙与 QoS / 防火墙 — # 防火墙  防火墙通过连接跟踪实现有状态数据包过滤，并可执行无状态过滤，从而提供用于管理进出路由器及穿过路由器数据流的安全功能。结合网络地址转换（NAT），它可用于阻止对直连网络和路由器本身的未授权访问，同时过滤出站流量。 网络防火墙可阻止外部威胁接触网络内部的敏感数据。当不同网络互联时，外部人员入侵 LAN 的风险始终存在。此类入侵可能导致私有数据被窃取和传播、重要数据被篡改或...

防火墙与 QoS / 防火墙 — # 防火墙  防火墙通过利用连接跟踪（connection tracking）实现有状态的数据包过滤，并提供无状态数据包过滤，从而提供用于管理流入、流出及穿过路由器的数据流的安全功能。它结合网络地址转换（NAT），既可用于阻止对直连网络和路由器本身的未授权访问，也可作为出站流量的过滤器。 网络防火墙可以阻止外部威胁接触网络内部的敏感数据。只要不同的网...

快速上手 / 关键概念 — ### 关键概念 - **默认配置：** 出厂预装的设置，可能需要根据你的网络需求进行调整 - **Bridge：** 把多个物理端口组合为单个网段的虚拟接口 - **DHCP：** 自动为网络上的设备分配 IP 地址的协议 - **NAT：** 网络地址转换，允许多台设备共享一个公网 IP 地址 - **Firewall：** 出于安全目的控制和过滤网络流量的一组规则

防火墙与 QoS / 总体数据包流示意图 — - **Hotspot-in** —— 允许捕获否则会被连接跟踪丢弃的流量——这样我们的 Hotspot 功能即使网络设置一片混乱也能提供连接。 - **RAW Prerouting** —— RAW 表 prerouting 链。 - **Connection tracking** —— 数据包由连接跟踪处理。 - **Mangle Prerouting** —— Mangle prerouting 链。 - **Mangle Input** —— Mangle input 链。 - **Filter Input** —— 防火墙 filter ...

桥接与交换 / 交换机规则（ACL）与 Fasttrack 硬件卸载 — ### 交换机规则（ACL）与 Fasttrack 硬件卸载 一些防火墙规则可以通过[交换机规则（ACL）](./marvell-prestera-switch-chip-features.md#switch-rules-acl)和 CPU [防火墙过滤](../firewall-and-quality-of-service/firewall/filter.md) + Fasttrack 硬件卸载两种方式实现。两种选项都能提供接近线速的性能。那么问题...

容器 / 容器的 IPv4 和 IPv6 — ### 容器的 IPv4 和 IPv6 在此网络设置中，容器将能够通过 IPv4 和 IPv6 通信。该解决方案基于[带 NAT 的桥接](./index.md#bridge-with-nat)网络设置。 - 网络配置。 ```routeros /ip/address add address=172.17.0.1/24 interface=containers /ip/firewall/nat add action=masquerade chain=srcnat src-addr...

容器 / 容器的 IPv4 和 IPv6 — ### 容器的 IPv4 和 IPv6 在此网络设置中，您的容器将能够通过 IPv4 和 IPv6 进行通信。该方案基于 [Bridge with NAT](./index.md#bridge-with-nat) 网络设置。 - 网络配置。 ```routeros /ip/address add address=172.17.0.1/24 interface=containers /ip/firewall/nat add action=masquerade chain=srcna...

AAA 与用户管理 / IP 绑定 — ...**子菜单：** `/ip/hotspot/ip-binding` IP 绑定 HotSpot 菜单允许设置静态一对一 NAT 转换，允许特定 HotSpot 客户端无需任何认证即可绕过登录，还允许阻止特定主机和子网访问 HotSpot 网络 | 属性 | 说明 | | :-- | :-- | | **address** (*IP Range*；默认：**""**) | 客户端的原始 IP 地址 | | **mac-address** (*MAC*；默认：**""**) | 客户端的 MAC 地址 | | **server** (*string \| a...

防火墙与 QoS / 配置示例 — ## 配置示例  假设我们已经完成了上图所示的基本家庭网络配置。 在启用 PMP-NAT 之前，我们需要对离开 LAN 的数据包进行 masquerade。 ```ros /ip/firewall/nat add action=masquerade chain=srcnat out-interface=ether1 ``` 现在我们可以启用 PMP 并添加 internal 和 extern...

AAA 与用户管理 / IP 绑定 — ...:** `/ip/hotspot/ip-binding` IP-Binding HotSpot 菜单允许设置静态一对一 NAT 转换，允许特定 HotSpot 客户端无需任何认证即可绕过，还允许从 HotSpot 网络阻止特定主机和子网 | 属性 | 描述 | | :-- | :-- | | **address** (*IP Range*; 默认: **""**) | 客户端的原始 IP 地址 | | **mac-address** (*MAC*; 默认: **""**) | 客户端的 MAC 地址 | | **server** (*string \| ...

CLI 命令参考 / ip/firewall/filter — ...确定状态的数据包（通常是严重乱序的数据包、序列号/确认号错误的数据包，或路由器资源过度使用的情况）。无效数据包不会参与 NAT（只有 connection-state=new 的数据包才会），并且在路由时仍会包含原始源 IP 地址。您应该在防火墙 filter 的 forward 和 input 链中丢弃所有 `connection-state=invalid` 数据包。 - `new` - 数据包已开始一个新连接，或者以其他方式关联到一个尚未看到双向数据包的连接。 - `related` - 与现有连接相关但不属于该连接的数据包，例如 ICMP 错误或...

防火墙与 QoS / 配置示例 — ## 配置示例  我们的路由器上已经启用了 masquerading： ```ros [admin@MikroTik] /ip/upnp> /ip/firewall/nat/print Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat action=masquerade out-interface=ether1 [admin@...

防火墙与 QoS — > 本页说明 MikroTik RouterOS 的防火墙统计信息与相关命令，详细介绍如何查看 IPv4/IPv6 规则的匹配统计、重置计数器，并列出防火墙过滤中常用的匹配器，如 MAC 地址、接口、IP 地址范围和端口。

虚拟专用网络 (VPN) / SSTP — ...问。SSTP 使用基于 TCP 端口 443 的 HTTPS，使 VPN 流量能够通过大多数通常允许标准 Web 流量的防火墙、网络地址转换 (NAT) 设备和代理服务器。 SSTP 通过 TLS 支持强加密、认证和数据完整性，有助于保护传输的数据免遭拦截或篡改。由于它依赖 TCP，SSTP 可以在不稳定的网络条件下提供可靠的连接，尽管与基于 UDP 的 VPN 协议相比会带来额外的开销。 SSTP 通常用于其他 VPN 协议（如 PPTP、L2TP/IPsec 或使用非标准端口的 OpenVPN）被网络限制所阻止的环境。

CLI 命令参考 / ipv6/firewall/nat — ...bleRow> <ArgTableRow arg="chain" typ="enum" mandatory="1">指定规则将添加到哪个链。如果输入与已定义链的名称不匹配，则会创建新链。</ArgTableRow> <ArgTableRow arg="action" typ="enum (accept | jump | return | log | passthrough | add-src-to-address-list | add-dst-to-address-list | src-nat | masquerade | dst-nat | redir...

防火墙与 QoS / 示例 — ### 示例 例如，对于采用出厂默认配置的 SOHO 路由器，你可以用这一条放在 Firewall Filter 顶部的规则来 FastTrack 所有 LAN 流量。同时还需要一条相同的 accept 规则： ```ros /ip/firewall/filter/add chain=forward action=fasttrack-connection connection-state=established,related /ip/firewall/filter/ad...

虚拟专用网络 (VPN) / 配置示例 — ### 配置示例  ISP 向其客户端提供两条物理链路（DSL 线路），每条 1Mbps。要获得聚合的 2Mbps 管道，我们必须设置 MLPPP。假设 ISP 路由器已预先配置为支持 MLPPP。 路由器 (R1) 上的配置为： ```ros /interface/pppoe-client add service-name=ISP i...

路由与网络协议 / 防火墙中的 VRF 接口 — ## 防火墙中的 VRF 接口 :::warning 在 RouterOS v7.14 之前，带有 in/out-interface 属性的防火墙过滤规则将应用于 VRF 实例内的 interface。从 RouterOS v7.14 开始，这些规则不再针对 VRF 内的单个 interface，而是针对作为整体的 VRF interface。 ::: 从 RouterOS v7.14 开始，当 interface 被添加到 VRF 时，会自...

网络服务 / Socksify — ...ify 是一种服务，它允许路由器将特定流量通过 SOCKS 代理服务器发送，即使应用程序本身并不原生支持代理连接。 它会拦截网络调用，并将它们通过配置好的 SOCKS 代理进行重定向。 Socksify 服务与 [NAT](../../firewall-and-quality-of-service/firewall/nat.md) action=`socksify` 结合使用。所有可用的防火墙过滤器都可用于精确地仅选择按应用程序/来源的流量，将其通过 socks 代理重定向。 可以同时配置多个 Socksify 服务，从而允许连接到多个 SOCKS 服务...

网络服务 / 通过 SOCKS 服务器的 FTP 服务 — ### 通过 SOCKS 服务器的 FTP 服务 假设我们有一个网络 192.168.0.0/24，它通过一台公网 IP 为 203.0.113.104/24、私网 IP 为 192.168.0.1/24 的路由器进行 masquerade。网络中某处有一台 IP 地址为 198.51.100.8 的 FTP 服务器。我们希望允许本地网络中 IP 地址为 192.168.0.2/24 的客户端访问此 FTP 服务器。 我们已经对本地网络进行了 masquerade： ```ros [admin@Mi...

CLI 命令参考 / address-list — # address-list > 防火墙地址列表是一组命名的 IPv4 地址、前缀和范围，filter、NAT、mangle 和 raw 规则使用 `src-address-list` 和 `dst-address-list` 与之匹配。条目在此处添加，也可通过 `add-src-to-address-list` 和 `add-dst-to-address-list` 规则操作以及列表中的 DNS 名称添加。这些操作会将数据包传递给下一条规则。IPv6 地址进入 [`/...

防火墙与 QoS / 配置说明 — ### 配置说明 首先，我们会将每个新连接发送到特定的防火墙链，在那里检测 DDoS： ```ros /ip/firewall/filter/add chain=forward connection-state=new action=jump jump-target=detect-ddos ``` 在新建的链中，我们将添加以下带有 "dst-limit" 参数的规则。该参数的书写格式如下：**dst-limit=****count[/time]...

高可用方案 / NAT — ### NAT ```ros /ip/firewall/nat add action=masquerade chain=srcnat out-interface=ether_ISP1 add action=masquerade chain=srcnat out-interface=ether_ISP2 ``` 由于路由决策已经做出，我们只需要为所有出站数据包修正 src-address 的规则。如果该数据包经由 ether\_ISP1 离开，它...

CLI 命令参考 / ipv6/firewall/filter — - `icmp-no-route` - 发送 ICMP 地址无路由消息。ICMP 类型 1，代码 0 - `icmp-admin-prohibited` - 发送 ICMP 地址被禁止消息。ICMP 类型 1，代码 1 - `icmp-not-neighbour` - 发送 ICMP 地址非成员消息。ICMP 类型 1，代码 2 - `icmp-address-unreachable` - 发送 ICMP 地址不可达消息。ICMP 类型 1，代码 3 - `icmp-port-unreach...

虚拟专用网络 (VPN) / 选择通过隧道发送的内容 — ### 选择通过隧道发送的内容 如果查看生成的动态 policy，我们会发现只有具有特定源地址（由 mode config 接收）的流量会通过隧道发送。但路由器在大多数情况下需要将特定设备或网络路由通过隧道。在这种情况下，我们可以使用源 NAT 将数据包的源地址改为与 mode config 地址匹配。由于 mode config 地址是动态的，无法创建静态源 NAT 规则。在 RouterOS 中，可以为 mode config 客户端生成动态源 NAT 规则。 #### 选项 1：通过隧道发送所有流量 在本例中，路由器后...