Molt
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Цитата:| инпут запрещен кроме разрешенного. |
А правило (дефолтное) куда дели?
Код: /ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="defconf: accept established,related,untracked" |
Это правило позволяет работать dns-резолву, ntp-clientу, ходить за обновлениями, иницировать всякие впн и т.д, т.е. для соединений, которые инициирует сам микротик. При этом все внешние входящие на wan будут закрыты*.
То что у вас не работает обновление без вашего правила говорит только о том, что конкретно у вас что-то не то с фаерволлом. Это частный случай, его нельзя проецировать на другие случаи.
---
upd:
* в дефолте они закрываются одним таким правилом
Код: /ip firewall filter
add chain=input action=drop in-interface-list=!LAN comment="defconf: drop all not coming from LAN" |
Для наглядности эти два правила в порядке следования в дефолтном фаерволле (помним, что цепочка output в дефолте не ограничена, т.е. пакеты с самого микротика уходят без ограничений)
Код: /ip firewall filter
add chain=input action=accept connection-state=established,related,untracked comment="defconf: accept established,related,untracked"
add chain=input action=drop in-interface-list=!LAN comment="defconf: drop all not coming from LAN" |
|
Всего записей: 1356 | Зарегистр. 07-11-2004 | Отправлено: 10:37 08-06-2025 | Исправлено: Molt, 12:05 08-06-2025 |
|
