Настройка файрвола и приоритизация трафика на MikroTik

Отслеживание прохождения соединения

• Connection Tracker
• Возможные проблемы при использовании Connection Tracker, 2 WAN и IP-телефонии

Фильтры

• Что не умеет брандмауэр MikroTik
• Основы сетевой и информационной безопасности
• Цепочки (по умолчанию и настроенные вручную)
• Обзор всех видов действий (actions)
• Обзор наиболее часто используемых правил (conditions)
• Bridge Firewall
• Брандмауэр в реальной жизни
• Гостевая сеть
• DMZ
• FastTrack
• Доступ после перебора портов
• Распространенные атаки
• RAW-Filter
• Защита от сканирования портов
• Защита от DoS-атаки
• Доступ к SSH после перебора портов
• Layer-7 Filter
• Блокировка сайтов, торрентов и Tor
• Настройка правил для оптимизации производительности
• Поиск ошибок в файрволе

NAT

• Цепочки (по умолчанию и настроенные вручную)
• Обзор всех видов действий (actions)
• Обзор наиболее часто используемых правил (conditions)
• Проброс портов и частые ошибки
• Netmap
• Hairpin NAT
• NAT helpers
• NAT и IP-телефония
• NAT, 2 WAN и IP-телефония

Таблица правил для манипуляции с пакетами (mangle)

• Цепочки (по умолчанию и настроенные вручную)
• Обзор всех видов действий (actions)
• Обзор наиболее часто используемых правил (conditions)
• Примеры сложных условий (conditions) (вкладки "advanced" и "extra")
• Распространенные ошибки
• Лучшие практики по маркировке трафика
• Маркировка трафика для IP-телефонии
• Маркировка маршрутов

uPNP

У компании три офиса: головной офис, филиал №1 и филиал №2. Филиал №2 появился недавно за счет покупки конкурента, который имел свою IT-инфраструктуру. Оказалось, что конкурент использовал ту же самую IP-подсеть, что и головной офис. Это вызывает затруднения при использовании site-to-site VPN. По ряду причин оперативно изменить адресацию ни в головном офисе, ни в филиале №2 нельзя. Компания использует собственный web-сервер. В целях безопасности этот сервер вынесен в демилитаризованную зону. Так же используется собственный сервер IP-телефонии. Номер телефона предоставляется провайдером телефонии. Используются IP-телефоны Cisco. Часть сотрудников имеют право подключаться извне с помощью client-to-site VPN.

Необходимо настроить правила использования интернет-канала шириной 20 Мбит/с. При настройке надо использовать «Queue Tree».На случай максимальной загрузки канала максимальный приоритет должен иметь управляющий трафик (WinBox, SSH).

1. 1. Трафик IP-телефонии должен иметь приоритет перед всем остальным трафиком без учета управляющего трафика. При этом надо учитывать, что сервер телефонии периодически загружает большое количество обновлений. Поэтому нельзя использовать приоритезацию по IP-адресу сервера, т. к. в таком случае большой приоритет получит и лишний трафик, который может выдавить голосовой трафик.
   2. Трафик между локальной сетью и DMZ не должен иметь ограничений по скорости.
   3. Если канал использует одно устройство из основной сети, то ему доступна вся скорость полностью.
   4. Если из основной сети подключаются второе и последующее устройства, то скорость делится между ними пропорционально запросам. То есть, если одно устройство просит 10 Мбит/с, а другое 3 Мбит/с, то скорость так и распределяется. Если каждое подключенное устройство запрашивает по 20 Мбит/с, то скорость делится между ними поровну.
   5. В сети есть VIP-пользователи: директор и главный бухгалтер. В самом плохом случае им должно быть доступно не менее 2 Мбит/с каждому.
   6. Если канал используют устройства из гостевой сети, то на все подключенные устройства доступно не более 5 Мбит/с. При этом должна быть доступна возможность кратковременно превысить этот лимит с пиком до 10 Мбит/с.
   7. Если за канал конкурируют устройства из гостевой и основной сети, то:
      • Устройства основной сети могут занять весь канал, когда нет запросов от устройств гостевой сети.
      • Устройства гостевой сети получают скорость в соответствии со своими запросами, но не более 2 Мбит/с на всех.