ROS菜鸟系列4--简单路由策略实现

ROS的filter规则等同于华为或者思科的ACL规则，安装好的ROS系统，在初始情况下，默认的防火规则有三种：input,output,forward三种链。

简单说一下每一种的作用：input是指作用于所有去访问路由器本身的数据流，output是指作用于从路由器本身发出或者回应给其他访问的数据流，forward是指作用于通过路由器转发的数据流，主要是用于过滤内网用户与外网的数据交互。

;}$X&K L F:M9g_(y%t0Q%{(j!t'e举些简单的应用例子："X6}+{/O(Y'z;a1)假定不允许从IP地址是192.168.1.100的机器登录路由器：/^*@%C.\5P;e[admin@MikroTik] > ip:V,c0\8j*U5L&`[admin@MikroTik] /ip> firewall filter,J6S2r D!;I'~&1$P[admin@MikroTik] /ip firewall filter> add chain=input src-address=192.168.1.100 action=drop4k'X)x#a h-}, [admin@MikroTik] /ip firewall filter> printFlags: X - disabled, I - invalid, D - dynamic0 chain=input action=drop src-address=192.168.1.100d.{:e!X#@1W"j(m-O2)假定不允许路由器回应外网用户的PING探测："f3h5X.x![+U:u8Z v S4N[admin@MikroTik] /ip firewall filter> add chain=output protocol=icmp out-interface=wan icmp-options=0 action=drop[admin@MikroTik] /ip firewall filter> printFlags: X - disabled, I - invalid, D - dynamic8_!u*k&}0l0 chain=input action=drop src-address=192.168.1.1001 chain=output action=drop protocol=icmp out-interface=wanicmp-options=0:0-255解释相关的部分参数：protocol参数是指选择的协议，如TCP,UDP,ICMP等。

icmp-options意思是指ICMP的选项，代码0表示：echo replay。

3)假定禁止内网的机器使用192.168.1.200-192.168.1.220的IP地址访问外部网络&w0J3j v.C x,[admin@MikroTik] /ip firewall filter> add chain=forward src-address=192.168.1.200-192.168.1.220 action=drop6o)n%w.a-V*b[admin@MikroTik] /ip firewall filter> printFlags: X - disabled, I - invalid, D - dynamic0 chain=input action=drop src-address=192.168.1.1004}1L)T6O B^3t'r!7k1 chain=output action=drop protocol=icmp out-interface=wan:{1H!@"%w9ficmp-options=0:0-2552 chain=forward action=drop src-address=192.168.1.200-192.168.1.220$K z#d&t"y8l1r4)假定要实现防止外部网络使用TCP连接攻击路由器本身.Z Q9`2h3e,g1R[admin@MikroTik] /ip firewall filter> add chain=input protocol=tcp connection-limit=5,32 action=add-src-to-address-list address-list=black-address address-list-timeout=1d0}K5X#w:)H [admin@MikroTik] /ip firewall filter> add chain=input src-address-list=black-addressaction=drop~%k.?7]&D!i$w2q'y,[admin@MikroTik] /ip firewall filter> print;D0c9}7Z4X%m)|#VFlags: X - disabled, I - invalid, D - dynamic0 chain=input action=drop src-address=192.168.1.100:t'i/?&}%n3q"m1 chain=output action=drop protocol=icmp out-interface=wanicmp-options=0:0-255;x2y)N-q%6D2 chain=forward action=drop src-address=192.168.1.200-192.168.1.220!b8S3g)s&]3 chain=input action=add-src-to-address-list protocol=tcp7[+y.a2|C#M/address-list=black-address address-list-timeout=1dconnection-limit=5,321u6D(`9}$O2@5N-n'*F G4 chain=input action=drop src-address-list=black-address"A&j,3a'\以上的功能实现也可以利用filter与mangle相互配合使用：4v!O3m5F6H[admin@MikroTik] /ip firewall filter> ..[admin@MikroTik] /ip firewall> mangle7e;L*N)E|/j,_8A2P&J[admin@MikroTik] /ip firewall mangle> add chain=input protocol=tcp connection-limit=5,32 action=add-src-to-address-list address-list=black-address address-list-timeout=1d[admin@MikroTik] /ip firewall mangle> print3{-h;a(\y,~Flags: X - disabled, I - invalid, D - dynamic&a8w4x:;p2I1X+{^*W0 chain=input action=add-src-to-address-list protocol=tcp&w9z.?4u3x'[;{%e-o+Uaddress-list=black-address address-list-timeout=1d/|:l6J5q'R%v8g aconnection-limit=5,32#|8n)[$L*}J[admin@MikroTik] /ip firewall mangle> ..4};?-a"v!k*~,E[admin@MikroTik] /ip firewall> filter[admin@MikroTik] /ip firewall filter> add chain=input src-address-list=black-addressaction=drop[admin@MikroTik] /ip firewall filter> print2Y!D7t0M5F&X#d^.\Flags: X - disabled, I - invalid, D - dynamic'K%D7o C,V-T:P0 chain=input action=drop src-address-list=black-address*k0M"D O6Z%@;_解释一下相关部分参数：action=add-src-to-address-list意思是把引起超过限制连接数的源地址提取出来，放入名称为black-address 的地址列表中。

address-list-timeout参数的意思是放进black-address 地址列表中的IP地址在多久后释放出来。

connection-limit参数是配置连接数的限制，connection-limit=5,32 参数中5代表5个连接数，32是指IP地址的子网掩码，意思是每一个来访问路由器的源地址同时只允许最多建立5个TCP连接数。

#m*C)a5W/T.{rfilter规则的默认执行顺序是从上往下的顺序执行，在执行的过程中可以对规则的action参数相关配置对执行顺序作跳转，如跳转到用户自定义的链执行完了会再返回原来的序列往下执行。

5)假定为了抑制ICMP包攻击，设定对转发和路由本身的对ICMP的请求及回应的ICMP包数据进行限定[admin@MikroTik] /ip firewall filter> add chain=icmp protocol=icmp icmp-options=0 limit=5,32 action=accept9v%b0_1n5i$K6z[admin@MikroTik] /ip firewall filter> add chain=icmp protocol=icmp icmp-options=8 limit=5,32 action=accept#u+p3Y6C2v/I[admin@MikroTik] /ip firewall filter> printFlags: X - disabled, I - invalid, D - dynamic0 chain=icmp action=accept protocol=icmp icmp-options=0:0-255 limit=5,32,q5X!o%W)K0Z'E2]:r3n1 chain=icmp action=accept protocol=icmp icmp-options=8:0-255 limit=5,32解释一下相关部分参数：chain=icmp意思是建立自定义的链ICMP)p$a'L!@/G2]*u[admin@MikroTik] /ip firewall filter> add chain=input protocol=icmp action=jump jump-target=icmp/z:b S3y#}70X,~[admin@MikroTik] /ip firewall filter> add chain=forward protocol=icmp action=jump jump-target=icmp#K,x5M"q/X!d8i2~[admin@MikroTik] /ip firewall filter> printFlags: X - disabled, I - invalid, D - dynamic0 chain=icmp action=accept protocol=icmp icmp-options=0:0-255 limit=5,321 chain=icmp action=accept protocol=icmp icmp-options=8:0-255 limit=5,32-o2E"L1h#S8b4M*]B2 chain=input action=jump jump-target=icmp protocol=icmp1k!{$i.R&j:N(q'_"z*}3 chain=forward action=jump jump-target=icmp protocol=icmp7~8i6K(g.o以上在filter规则里面的执行顺序如下：路由器先对数据流一一与0,1 这两个条匹配，不匹配时，往下执行。