Dúvida de forward e input em filter!

[berimbau]

Se eu colocar primeiro uma regra de forward aceitando todas as portas , depois regras de input pra algumas portas do router e por fim drop as que eu não quero via input.

Significa que para meu clientes todas as portas estão liberado pelo forward e para o router apenas as que aceitei no input?

Tá certo isso?

Funciona assim? Ou tenho q liberar input tb pra o forward funcionar?

[trober]

Se eu colocar primeiro uma regra de forward aceitando todas as portas , depois regras de input pra algumas portas do router e por fim drop as que eu não quero via input.

Significa que para meu clientes todas as portas estão liberado pelo forward e para o router apenas as que aceitei no input?

Tá certo isso?

Sim, está certo

Ou tenho q liberar input tb pra o forward funcionar?

Não há necessidade de liberar INPUT para FORWARD. Basicamente, a grande confusão que acontece é que muita gente pensa que um FORWARD é um INPUT seguido de OUTPUT. Isso está errado.

FORWARD != ( INPUT + OUTPUT )

Recomendo a leitura sobre packet flow do IPTables / MikroTik RouterOS Firewall. Aqui no Under-Linux tem um tópico[1][2] já abordando o tema, inclusive com imagens[3] e descrições[4] dos fluxos.

[1] https://under-linux.org/showthread.p...156#post564156
[2] https://under-linux.org/showthread.p...314#post564314
[3] http://www.mikrotik.com/testdocs/ros...ket_flow31.jpg
[4] http://www.mikrotik.com/testdocs/ros/2.9/ip/flow.php

Saudações,

Trober

[berimbau]

Obrigado amigo! Sua resposta clareou meu raciocínio e desatando um nó que eu tinha.

Abraço

[berimbau]

Pelo que entendi então Trober, devo colocar uma regra de forward liberando todas as portas para os clientes depois das regras dinâmicas do hotspot. Assim terei o controle do hotspot, queue e liberarei as portas para eles. Correto? Antes nem pensar, pois corta todo o controle do hotspot.

Estou montada um firewall novo para ISP e quero fazer o mais enxuto possível.

Certo!
Abraço e obrigado amigo

[trober]

...devo colocar uma regra de forward liberando todas as portas para os clientes depois das regras dinâmicas do hotspot...

Infelizmente não posso ajudar. Hotspot está há tanto tempo entre as tecnologias "non grata" na minha "denylist", que nem lembrava mais que isso existia.

Saudações,

Trober

[berimbau]

Infelizmente não posso ajudar. Hotspot está há tanto tempo entre as tecnologias "non grata" na minha "denylist", que nem lembrava mais que isso existia.

Saudações,

Trober

KKKKKKK!!!! Tb vou coloca-la em breve.

Valeu