RouterOS防火墻類型
從網(wǎng)絡(luò)層上分類：分為二層過濾防火墻和三層與三層以上過濾防火墻，他們分別在bridge filter和ip firewall filter下進(jìn)行操作，能對各層的數(shù)據(jù)進(jìn)行處理。
從數(shù)據(jù)傳輸上分類：分為input、foreward和output三種鏈表（chain）過濾，不管是二層或者三層過濾上都包含這三個鏈表。
同時RouterOS還支持自定義防火墻鏈表。如下面的virus病毒鏈表。我們可以通過jump命令將數(shù)據(jù)跳轉(zhuǎn)到指定的鏈表。
當(dāng)處理一個chain（數(shù)據(jù)鏈），策略是從chain列表的頂部從上而下執(zhí)行的。
過濾數(shù)據(jù)原則“先丟棄后接受和先接受后丟棄”：
input鏈表
0 ;;; 接受你信任的IP地址訪問(src-address=填寫信任IP,默認(rèn)允許任何地址)
chain=input src-address=192.168.100.2 action=accept
1 ;;; 丟棄非法連接
chain=input connection-state=invalid action=drop
2 ;;; 丟棄任何訪問數(shù)據(jù)
chain=input action=drop
forward鏈表
0 ;;; 接受已建立連接的數(shù)據(jù)
chain=forward connection-state=established action=accept
1 ;;; 接受相關(guān)數(shù)據(jù)
chain=forward connection-state=related action=accept
2 ;;; 丟棄非法數(shù)據(jù)包
chain=forward connection-state=invalid action=drop
3 ;;; 限制每個主機(jī)TCP連接數(shù)為80條
chain=forward protocol=tcp connection-limit=80,32 action=drop
4 ;;; 丟棄掉所有非單播數(shù)據(jù)
chain=forward src-address-type=!unicast action=drop
5 ;;; 跳轉(zhuǎn)到ICMP鏈表
chain=forward protocol=icmp action=jump jump-target=ICMP
6 ;;; 跳轉(zhuǎn)到病毒鏈表
chain=forward action=jump jump-target=virus
forward工作過程如下：
ICMP（Internet控制報文協(xié)議），通過ICMP鏈表來過濾所有的ICMP協(xié)議：
0 ;;; Ping應(yīng)答限制為每秒5個包
chain=ICMP protocol=icmp icmp-options=0:0-255 limit=5,5 action=accept
1 ;;; Traceroute限制為每秒5個包
chain=ICMP protocol=icmp icmp-options=3:3 limit=5,5 action=accept
2 ;;; MTU線路探測限制為每秒5個包
chain=ICMP protocol=icmp icmp-options=3:4 limit=5,5 action=accept
3 ;;; Ping請求限制為每秒5個包
chain=ICMP protocol=icmp icmp-options=8:0-255 limit=5,5 action=accept
4 ;;; Trace TTL限制為每秒5個包
chain=ICMP protocol=icmp icmp-options=11:0-255 limit=5,5 action=accept
5 ;;; 丟棄掉任何ICMP數(shù)據(jù)
chain=ICMP protocol=icmp action=drop
禁止任何地址通過TCP/135端口訪問到本地路由器，因為是訪問本地路由器的數(shù)據(jù)，這里進(jìn)入input鏈表進(jìn)行操作：
禁止內(nèi)網(wǎng)192.168.1.100的電腦上網(wǎng)，我們通過forward鏈表進(jìn)行控制：
Jump跳轉(zhuǎn)操作在forward鏈表中的工作過程：
過濾www.test.com的域名過濾
防火墻可以根據(jù)源IP地址，目地IP地址，協(xié)議，端口，域名，一組不連續(xù)的IP，MAC地址等進(jìn)行過濾，一組規(guī)則
允許，拒絕，跳轉(zhuǎn)。
可以訪問自己的網(wǎng)站：
在路由器的入口（input鏈表）
域名網(wǎng)站www.voov.com
action設(shè)為允許
允許內(nèi)部網(wǎng)絡(luò)訪問www.voov.com.
機(jī)房內(nèi)192.168.100.10不允許讓互聯(lián)網(wǎng)：
Action設(shè)為拒絕:
拒絕192.168.100.10主機(jī)訪問外網(wǎng).
