Uma ajuda ao um iniciante com Mikrotik, Por favor !

[dti]

Boa tarde pessoal do fórum.

Sou inciante com Mikrotik, já faz dias que acompanho os tópicos do fórum. Aprendi bastante coisa e tenho muito que aprender. Preciso de uma ajuda de vocês. Já sei fazer algumas configurações no Mikrotik. Mas tenho dificuldade mexer com Firewall.

Minha Topologia atualmente é bem simples.

Tenho uma RB750 recebendo link por modem ADSL. E em seguida repasso através da Interface 03 repasso conexão para Switch de 08 portas.

Então indo direto ao problema. Quero proteger a RB750 de ataques internos e acesso indevidos etc.

Preciso fazer umas regras de proteções na minha interface 03 que comunica com dispositivos que estão via PPOE.

As regras que eu pretendo implementar seriam essas:

1 - Regra para dropar pings de qualquer range de ips/sub-redes na minha interface 3.

2 - Bloquear todas as portas de serviços, mas inseto um ip específico/sub para gerenciar o mikrotik.

3 - Alguma regra para bloquear Programas Scanners e Sniffers nessa interface03.

4 - DHCP Reverso, DHCP vindo de algum dispositivo de Rede. Ex. Alguém plugando cabo WAN do roteador para Mikrotik.

Enfim pessoal. Estou disposto aprender e contribui com vocês aqui no fórum. Caso eu posso ter pedido algo muito complexo, me desculpo. Pois como só iniciante, ainda não tenho o tamanho do trabalho que deve ser. Mas se alguém tiver material de livros, vídeos ou passa a passo, por favor manda link. Já agradeço desde já. Até breve!

[rimaraujo]

Ola amigo, eu não dropava em hipótese alguma ICMP.
Muitos serviços precisam do PING para funcionar.
2 /ip firewall filteradd action=drop chain=forward disabled=no dst-port=8291 protocol=tcp src-address=!endereço IP ( NAO REMOVA O ! )
3 - não preocuparia com essa função. de nada vai adiantar...
4 - /ip firewall filter
add action=drop chain=forward disabled=no dst-port=57-58 in-interface=Interface Cliente protocol=tcp

Acredito ser isso que você deseja..

[dti]

Opa rimaraujo!

Te agradeço pode ter respondido as minhas dúvidas.

Na 1ª pensei em colocar por causa dos famoso ping da morte. Mas pelo que vejo, você tem razão. Pois tem serviços que utilizam o ping como testes.

[dti]

fiz a segunda regra, mas continuo acessando pelo winbox.

[rimaraujo]

fiz a segunda regra, mas continuo acessando pelo winbox.

Sim. Você continuará acessando o winbox porque a regra fala. Tudo que vier para porta 8291 com exceção do número IP bloqueia.
Se você está dentro do IP escolhido ele permite acessar o winbox. Se não estiver ele bloqueia.