辰风云网络科技

Hi, 请登录

RouterOS软路由address-list黑白名单

在RouterOS通过address-list创建黑白名单有效的进行地址分组和管理,例如建立上网黑白名单,通过白名单和黑名单配置方式做一个事例介绍

白名单事例

在内网有三个IP地址段192.168.10.0/24、192.168.20.0/24和192.168.30.0/24,在ip address查看配置
[admin@MikroTik] /ip/address> print
Flags: X, D - DYNAMIC
Columns: ADDRESS, NETWORK, INTERFACE
#   ADDRESS          NETWORK       INTERFACE
0   192.168.10.2/24  192.168.10.0     ether2
1   192.168.20.2/24  192.168.20.0     ether3
2   192.168.30.2/24  192.168.30.0     ether4
网络中仅允许192.168.10.0/24、192.168.20.88/32、192.168.30.88/32的主机能访问互联网,其他IP地址拒绝访问,首先在/ip firewall address-list创建白名单列表
[admin@MikroTik]>/ip firewall address-list
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.10.0/24 list="whitelist"
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.10.88 list="whitelist"
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.30.88 list="whitelist"
进入/ip firewall filter下配置过滤策略,内部局域网到互联网访问是forward链表,首先匹配允许白名单列表通过
[admin@MikroTik] >/ip firewall filter
[admin@MikroTik] /ip/firewall/filter> add action=accept chain=forward src-address-list="whitelist"
再添加拒绝所有IP通过,注意添加顺序,防火墙是按照顺序执行,规则在优先级越高。
[admin@MikroTik] /ip/firewall/filter>add action=drop chain=forward

黑名单事例

在之前的白名单事例反过来配置,即拒绝不能上网的IP地址,就是黑名单的方式
禁止192.168.20.0/24和192.168.30.0/24访问互联网,创建一个blacklist黑名单
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.20.0/24 list="blacklist"
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.30.0/24 list="blacklist"
在filter下配置过滤策略,内部局域网到互联网访问是forward链表,配匹blacklist的ip地址禁止通过
[admin@MikroTik] /ip/firewall/filter> add action=drop chain=forward src-address-list="blacklist"
注意:默认情况下所有filter链表规则是accept接受通过,因此只需要添加drop丢弃规则,不匹配的IP将会被接受通过
之前我们的策略允许192.168.20.88和192.168.30.88可以访问互联网,那我们需要补充两条规则
[admin@MikroTik] /ip/firewall/filter>add action=accept chain=forward src-address=192.168.20.88
[admin@MikroTik] /ip/firewall/filter>add action=accept chain=forward src-address=192.168.30.88
使用print命令查看filter列表,规则1,2是192.168.20.88和192.168.30.88的允许规则,在规则0后面,肯定不会优先处理
[admin@ MikroTik] /ip/firewall/filter> print
Flags: X - disabled, I - invalid; D - dynamic

0    chain=forward action=drop src-address-list=blacklist log=no
log-prefix=""

1    chain=forward action=accept src-address=192.168.20.88 log=no
log-prefix=""

2    chain=forward action=accept src-address=192.168.30.88 log=no
log-prefix=""
将规则1,2移动到0之前优先处理,通过move命令调整顺序
[admin@MikroTik] /ip/firewall/filter> move 1,2 0
查看修改情况:
[admin@ MikroTik] /ip/firewall/filter> print
Flags: X - disabled, I - invalid; D - dynamic

0    chain=forward action=accept src-address=192.168.20.88 log=no
log-prefix=""

1    chain=forward action=accept src-address=192.168.30.88 log=no
log-prefix=""

2    chain=forward action=drop src-address-list=blacklist log=no
log-prefix=""
当然,192.168.20.88和192.168.30.88可以创建一个whitelist中,添加一条src-address-list规则完成,这样适合较多的白名单IP地址情况。


相关推荐

添加图片注释,不超过 140 字(可选)

Routeros软路由v7 VXLAN 配置
二维码
评论