Molt
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата: а потом народ начинает задавать вопросы почему в правилах ниже не весь трафик обрабатывается и не во всех пакетики бегут.
|
Потому что дефолтный фаерволл выглядит примерно так (да, здесь используется vpn, поэтому трафик в цепочке input заметный, но тем и наглядней ситуация)
Трафик, который относится к уже установленному соединению - это львиная доля всех пакетов в цепочке input (ну или forward, если это домашний девайс). Мы его в самом начале ловим connection-state=established,related, разрешаем и сразу выводим из обработки дальнейшими правилами (action=accept). Потому что
Цитата:| accept - accept the packet. A packet is not passed to the next firewall rule. |
https://help.mikrotik.com/docs/spaces/ROS/pages/250708064/Common+Firewall+Matchers+and+Actions
Иначе говоря, все что отщелкало у нас на нулевом правиле, по action=accept прошло фаерволл как нож масло и пошло дальше. А чем короче путь, который проходит пакет по цепочками и правилам фаерволла - тем быстрее работает фаерволл, тем он производительней.
Если же делать все через ЖО и поставить правило в конец аля
Код:| action=drop chain=input connection-state=!established,related |
то тогда пакет с состоянием established (т.е. соединение уже проверено и установлено) должен пройти по всем правилам, пока доберется до нашего злополучного исключения, и не найдя больше совпадающего правила, вылетит с фаерволла дальше... Но производительность такого варианта будет хуже и будет определяться числом проверок, которые должен пройти пакет, т.е числом правил до нашего злополучного.
И да, когда работаете с ограничивающими правилами*, используйте состояние new, т.е. вместо
Код: /ip firewall filter
add action=accept chain=input comment=OpenVPN dst-port=1194 protocol=tcp |
лучше написать
Код: /ip firewall filter
add action=accept chain=input comment=OpenVPN connection-state=new dst-port=1194 protocol=tcp
|
* допустим у нас самое нижнее правило drop all, т.е. состояние "нормально закрытый фаерволл"
----------
"Give me the place to stand, and I shall move the earth" — Archimedes |
|
