☰

MikroTik - 无法从外部访问 webfig/无法通过外部 IP 通过 SSH 进入路由器

tag-icon • tag-icon firewall nat mikrotik routeros
MikroTik - 无法从外部访问 webfig/无法通过外部 IP 通过 SSH 进入路由器

好的，

事情是这样的。

假设我的公开 IP 是 10.0.01。我无法从外部通过 webfig 进入 10.0.01，也无法从外部 IP 通过 SSH 进入 mikrotik 路由器。

如果我物理连接到路由器（在同一个局域网上），我就可以做到这一点。它允许我使用 10.0.0.1 或 192.168.88.1 进行 webfig 和 SSH。

但是，如果我在不同的局域网上，就无法连接。

顺便说一句，我将我的 IP > 服务 > webfig 端口设置为 64291，将 SSH 设置为 23。

这是我的防火墙规则和 NAT。

规则

0 ;;; ALLOW ALL TO LAN
chain=input action=accept connection-state=established,related,new in-interface=bridge-local log=no log-prefix=""

1 ;;; ALLOW ICMP (Ping) ON ALL
chain=input action=accept protocol=icmp log=no log-prefix=""

2 ;;; Drop Everything Else
chain=input action=drop log=no log-prefix=""

3 ;;; default configuration
chain=input action=drop in-interface=ether1-gateway log=no log-prefix=""

4 ;;; default configuration
chain=forward action=accept connection-state=established,related,new in-interface=bridge-local log=no log-prefix=""

5 ;;; default configuration
chain=forward action=drop connection-state=invalid log=no log-prefix=""

6 ;;; default configuration
chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1-gateway log=no log-prefix=""

NAT

0 ;;; default configuration
chain=srcnat action=masquerade to-addresses=X.X.X.X out-interface=ether1-gateway     log=no log-prefix=""

1 chain=dstnat action=dst-nat to-addresses=192.168.88.200 protocol=tcp dst-address=X.X.X.X dst-port=80 log=no log-prefix=""

2 chain=srcnat action=src-nat to-addresses=X.X.X.X protocol=tcp src-address=192.168.88.0/24 log=no log-prefix=""

3 chain=dstnat action=dst-nat to-addresses=192.168.88.200 to-ports=22 protocol=tcp dst-address=X.X.X.X dst-port=22 log=no log-prefix=""

4 chain=srcnat action=src-nat to-addresses=192.168.88.200 to-ports=22 protocol=tcp src-address=192.168.88.0/24 log=no log-prefix=""

5 chain=dstnat action=dst-nat to-addresses=192.168.88.1 protocol=tcp dst-address=X.X.X.X dst-port=23 log=no log-prefix=""

答案1

禁用规则 #2 + #3 并再次测试。或者您可以为 ssh+www 端口设置例外。

你正在放弃所有在来自 ether1 网关的流量。

规则 #2 + #3 实际上是相同的。我建议你删除 #2

更新回复

为了打造安全的路由器，更改端口并不是最佳做法，这会造成虚假的安全感。然而，这是一种简单的实现方式。

如何保护开放/重定向端口

/ip firewall filter add chain=input dst-port=22,80,443 in-interface=ether1-gateway protocol=tcp
/ip firewall filter add action=drop chain=input in-interface=ether1-gateway

PD：ether1-gateway 是 WAN 端口，dst-port 是您希望保持打开的端口。将这些过滤器移动到 Mikrotik 的 #2 和 #3 位置，并保留此顺序！

然后，保护您的密码和连接，并对失败/暴力尝试连接进行主动分析控制：

  1. 在 Linux 系统中使用 fail-to-ban，或者反暴力攻击脚本 ->预防暴力登录
  2. 使用长密码，大小写字母与数字混合
  3. 使用 http 等安全连接s ssh 或 telnet 或 http

相关内容