Protegiendo Nuestro Mikrotik/Router de los

ataques.
Una de las recomendaciones que siempre se hacen en redes, es en lo
posible dejar una máquina destinada sólo a firewall, lo que se cumple
utilizando mikrotik, pues requiere de exclusividad de un PC. Pero la protección
no pasa solo por eso, además debemos proteger nuestro mikrotik de los
ataques tanto de diccionarios como de los distintos escaneos de puertos y
demases.

A continuación les muestro un firewall bastante intuitivo, el cual

consiste en dejar abiertos los puertos que ocupa mikrotik, es decir, 80 para
mostrar el WebBox, 21 para el ftp, 22 para SSH, 23 para telnet y 8291 para
Winbox.

Además como en mi caso no se utilizan mucho los servicios anterior mente

mencionados desde las afueras de la red interna, se crearán reglas que creen
listas de las IP que intentan y/o acceden al router por todos los puertos,
identificando mediante tipos de listas los servicios que se describieron.

Es así en donde nos encontramos con listas de ip para winbox, ssh,

weebbox, telnet, ftp, y para el resto de los intentos en los otros puertos.
Además, bloquearemos las conexiones inválidas, que son aquellas que llegan
desde supuestas redes internas 10.x.x.x, 172.x.x.x, 192.x.x.x etc..
Regularemos que nuestro router sea cerrado y admita solo la red interna (en
mi caso 10.8.1.0/24) y además una lista de las ip externas conocidas y que
considero fiables.

Para quienes no quieren entender mucho de las reglas, hagan un copy-

paste de lo siguiente, en la ventana de Terminal, dentro de ip firewall filter. Es
decir les aparecerá esto:
 Luego copien estos códigos:

add chain=input connection-state=established action=accept comment="Aceptar \

conexiones establecidas" disabled=no

add chain=input connection-state=related action=accept comment="Aceptar \

related conexiones" disabled=no

add chain=input connection-state=invalid action=drop comment="Rechazar \

conexiones inválidas" disabled=no

add chain=input src-address=!10.8.1.0/24 src-address-list="Intentos SSH" \

action=drop comment="Bloquear Lista SSH" disabled=no

add chain=input src-address=!10.8.1.0/24 src-address-list="Lista Telnet" \

action=drop comment="Bloquea Lista Telnet" disabled=no

add chain=input src-address=!10.8.1.0/24 src-address-list="Bloqueo de \

Invalidos Router" action=drop comment="Bloqueo Lista de Invalidos" \

 disabled=no

add chain=input src-address=!10.8.1.0/24 src-address-list="Entradas por FTP" \

action=drop comment="Bloquear Lista FTP" disabled=no

add chain=input protocol=tcp dst-port=21 action=add-src-to-address-list \

address-list="Entradas por FTP" address-list-timeout=0s comment="Crea \

Lista de IPs que entran al FTP" disabled=no

add chain=input protocol=tcp dst-port=21 action=accept comment="Aceptar \

Conexiones FTP" disabled=no

add chain=input protocol=tcp dst-port=80 action=add-src-to-address-list \

address-list="Accesos Via Web" address-list-timeout=0s comment="Crea

Lista \

de IPs que ven WebBox" disabled=no

add chain=input protocol=tcp dst-port=80 action=accept comment="Acepta

WebBox" \

disabled=no

add chain=input protocol=udp action=accept comment="UDP" disabled=no

add chain=input protocol=icmp limit=50/5s,2 action=accept comment="Aceptar \

pings limitados" disabled=no

add chain=input protocol=icmp action=drop comment="Rechazar pings execibos" \

disabled=no

add chain=input protocol=tcp dst-port=23 action=add-src-to-address-list \

address-list="Lista Telnet" address-list-timeout=0s comment="Lista

Telnet" \

disabled=no

add chain=input protocol=tcp dst-port=23 action=accept comment="Acepta

Telnet" \

disabled=no

add chain=input protocol=tcp dst-port=22 action=add-src-to-address-list \

address-list="Intentos SSH" address-list-timeout=0s comment="Crea Lista

de \

Entradas SSH" disabled=no

add chain=input protocol=tcp dst-port=22 action=accept comment="SSH" \

disabled=no

add chain=input src-address=10.8.1.0/24 action=accept comment="Conexiones \

desde la red Local" disabled=no

add chain=input protocol=tcp dst-port=8291 action=add-src-to-address-list \

address-list=Winbox address-list-timeout=0s comment="Agrega IPs Que

entran \

por Winbox" disabled=no

add chain=input protocol=tcp dst-port=8291 action=log log-prefix="Entrada por \

Winbox" comment="Log entradas por WinBox" disabled=no

add chain=input protocol=tcp dst-port=8291 action=accept comment="winbox" \

disabled=no

add chain=input protocol=tcp dst-port=23 action=accept comment="Aceptar \

Conexiones Telnet" disabled=no

add chain=input action=add-src-to-address-list address-list="Bloqueo de \

Invalidos Router" address-list-timeout=0s comment="Lista de IP por \

acciones fuera de reglas" disabled=no

add chain=input action=drop comment="Rechazar todo lo demás" disabled=no

Como nota tiene que fijarse que las reglas admiten la red interna
10.8.1.0/24, por lo que cambien su segmento de red correspondiente a través
del mismo winbox, o bien antes de pegar estas reglas.

Ahora si van gráficamente IP Firewall y a Adress List, podrán

seleccionar las listas y ver las IP que se han conectado por los servicios, y las
inválidas.

Para hacer menos restrictivo el firewall, pueden deshabilitar alguno de

los bloqueos por lista, esto se hace presionando la X de winbox, o por
comandos editan la regla y el Disable=no lo cambian a Disable=yes.

Una fotito de como se ve el firewall y las listas de direcciones:

 Espero que les guste el firewall, basado en elwiki de mikrotik, editado
y con las listas de las IP. Cualquier sugerencia, reclamo o algo por el estilo,
posteen en este mismo informativo.

Venta de equipamiento wireless 900mhz, 2.4Ghz, 5.8Ghz

Adrian Bruno
Msn/Mail: powercacho@hotmail.com
Msn/Mail: cachawireless@hotmail.com
Tel/Fax: 0342-4260014