پیکربندی فایروال میکروتیک یکی از حیاتی ترین کارهایی است که هر مدیر شبکه باید انجام دهد. بدون این کار، روتر شما در برابر حملات، اسکن پورت و نفوذ از راه دور کاملا بی دفاع می ماند. در ادامه قدم به قدم یاد می گیرید که چطور پیکربندی فایروال میکروتیک را از صفر انجام دهید، چه قوانینی بنویسید و کدام اشتباهات رایج را نباید تکرار کنید. تا انتهای متن همراه بمانید تا یک تنظیم امن و کاربردی داشته باشید.
آموزش گام به گام پیکربندی فایروال میکروتیک
پیکربندی فایروال میکروتیک با شناخت سه زنجیره اصلی input، forward و output شروع می شود. هر زنجیره مسیر متفاوتی از ترافیک را کنترل می کند.
مراحل زیر را به ترتیب دنبال کنید تا یک فایروال پایه و امن بسازید:
- وارد Winbox شوید و از مسیر IP بخش Firewall را باز کنید.
- یک قانون برای پذیرش اتصالات established و related در زنجیره input اضافه کنید.
- اتصالات invalid را در همان زنجیره drop کنید تا بسته های مخرب حذف شوند.
- دسترسی به رابط LAN را برای مدیریت روتر باز بگذارید.
- در انتهای لیست، یک قانون drop برای همه ترافیک باقی مانده در input قرار دهید.
- همین منطق را برای زنجیره forward تکرار کنید تا از کلاینت های داخلی هم محافظت شود.
- قوانین NAT را جداگانه در تب NAT تعریف کنید، نه در filter rules.
ترتیب قوانین در پیکربندی فایروال میکروتیک اهمیت زیادی دارد. روتر قوانین را از بالا به پایین بررسی می کند و به محض تطابق، پردازش را متوقف می کند.
فایروال میکروتیک چیست
فایروال میکروتیک بخشی از سیستم عامل RouterOS است که ترافیک ورودی، خروجی و عبوری از روتر را کنترل می کند. این فایروال به شکل stateful کار می کند، یعنی وضعیت هر اتصال را دنبال می کند.
بر اساس مستندات رسمی میکروتیک، فایروال میکروتیک از چهار زیرسیستم اصلی تشکیل شده است:
- Filter برای پذیرش یا رد بسته ها
- NAT برای ترجمه آدرس و پورت
- Mangle برای علامت گذاری بسته ها
- Raw برای فیلتر سریع قبل از connection tracking
دیواره آتش میکروتیک نسبت به بسیاری از فایروال های سخت افزاری رقیب، انعطاف بیشتری در تعریف قوانین سفارشی دارد. همین ویژگی آن را برای شبکه های کوچک تا سازمانی مناسب می کند.
تنظیمات اولیه فایروال میکروتیک قبل از شروع کار
پیش از هر تغییری، یک نسخه پشتیبان از کانفیگ فعلی بگیرید. این کار در بخش Files با فرمان export قابل انجام است.
تنظیمات اولیه فایروال میکروتیک شامل چند بررسی ساده است که جلوی قفل شدن روتر را می گیرد:
- مطمئن شوید حداقل یک قانون accept برای رابط مدیریتی وجود دارد.
- Winbox را از طریق MAC آدرس هم در دسترس نگه دارید.
- قبل از فعال کردن قانون drop نهایی، تغییرات را در حالت Safe Mode اعمال کنید.
- آدرس مدیریتی خود را در یک Address List جداگانه قرار دهید.
فراموش نکردن این نکات، از قطع شدن دسترسی از راه دور در میانه پیکربندی فایروال میکروتیک جلوگیری می کند.
نحوه تنظیم فایروال در روتر میکروتیک با Winbox
Winbox رابط گرافیکی اصلی برای مدیریت روتر میکروتیک است و کار با آن ساده تر از خط فرمان است.
برای تنظیم فایروال در روتر میکروتیک با Winbox این مراحل را طی کنید:
- Winbox را اجرا و با آی پی یا MAC روتر متصل شوید.
- از منوی سمت چپ وارد IP و سپس Firewall شوید.
- در تب Filter Rules روی علامت به علاوه کلیک کنید.
- زنجیره، پروتکل و رابط مورد نظر را در تب General مشخص کنید.
- در تب Action نوع عملکرد مانند accept یا drop را انتخاب کنید.
- روی Apply و سپس OK کلیک کنید.
نحوه تنظیم فایروال در روتر میکروتیک با Winbox برای کاربران تازه کار بسیار مناسب تر از CLI است، چون خطای تایپی کمتری رخ می دهد.
تنظیم NAT در فایروال میکروتیک
تنظیم NAT در فایروال میکروتیک برای اشتراک گذاری اینترنت بین چند دستگاه ضروری است. بدون NAT، آدرس های داخلی شبکه شما در اینترنت قابل مسیریابی نیستند.
دو نوع اصلی NAT در RouterOS وجود دارد:
| نوع NAT | کاربرد اصلی | زنجیره مربوطه |
| Source NAT | تغییر آدرس مبدا برای خروج به اینترنت | srcnat |
| Destination NAT | هدایت ترافیک ورودی به یک سرور داخلی | dstnat |
برای port forwarding به یک سرور داخلی هم می توانید dst-nat را به کار ببرید. تنظیم NAT در فایروال میکروتیک باید همیشه بعد از تعریف filter rules بررسی شود، چون ترتیب پردازش این دو بخش متفاوت است.
تنظیم filter rule در فایروال میکروتیک
هر filter rule از دو بخش matcher و action تشکیل شده است. matcher شرط تطابق بسته را مشخص می کند و action تعیین می کند با بسته منطبق چه کاری انجام شود.
رایج ترین اکشن ها در تنظیم filter rule در فایروال میکروتیک عبارتند از:
- accept برای پذیرش بسته و توقف پردازش
- drop برای حذف بی سروصدای بسته
- reject برای رد بسته همراه با پیام خطا
- jump برای انتقال بسته به یک زنجیره سفارشی
- log برای ثبت بسته در لاگ سیستم
یک نکته مهم: تفاوت بین drop و reject در واکنش به فرستنده بسته است. drop هیچ پاسخی نمی فرستد، اما reject یک پیام ICMP یا TCP reset برمی گرداند. برای دفاع در برابر اسکن پورت، معمولا drop ترجیح داده می شود چون اطلاعات کمتری به مهاجم می دهد.
فایروال میکروتیک برای جلوگیری از حملات DDoS
فایروال میکروتیک برای جلوگیری از حملات DDoS از ترکیب Address List و محدودیت نرخ اتصال استفاده می کند. این روش بار پردازشی کمتری نسبت به بررسی تک تک بسته ها دارد.
این قانون فقط اجازه می دهد تعداد مشخصی بسته SYN در ثانیه عبور کند و مابقی حذف می شوند. فایروال میکروتیک برای جلوگیری از حملات DDoS همچنین می تواند از قابلیت آدرس های Blacklist پویا استفاده کند تا آی پی مهاجم به صورت خودکار برای مدتی مسدود شود. در مقایسه با فایروال های نرم افزاری متن باز مانند pfSense، فایروال میکروتیک منابع سخت افزاری کمتری مصرف می کند، اما pfSense در گزارش گیری بصری و افزونه های امنیتی گسترده تر عمل می کند.
فایروال میکروتیک برای شبکه سازمانی و امنیت شبکه میکروتیک
فایروال میکروتیک برای شبکه سازمانی نیازمند لایه بندی دقیق تری نسبت به شبکه خانگی است. تفکیک VLAN، تعریف زنجیره های سفارشی و مدیریت لاگ در این مقیاس اهمیت بیشتری پیدا می کند.
جدول زیر چند ویژگی کلیدی برای امنیت شبکه میکروتیک در محیط سازمانی را نشان می دهد:
| ویژگی | کاربرد در شبکه سازمانی |
| Address List پویا | مسدودسازی خودکار آی پی های مشکوک |
| زنجیره سفارشی | تفکیک ترافیک بر اساس دپارتمان یا VLAN |
| Layer7 Protocol | شناسایی و کنترل اپلیکیشن های خاص |
| Connection Limit | جلوگیری از سوءاستفاده منابع توسط یک کاربر |
مزایا و معایب استفاده از میکروتیک در مقیاس سازمانی:
- مزیت: هزینه اولیه پایین تر نسبت به بسیاری از برندهای رقیب
- مزیت: انعطاف بالا در نوشتن قوانین سفارشی
- عیب: نیاز به دانش فنی بیشتر برای پیکربندی صحیح
- عیب: پشتیبانی رسمی محدودتر نسبت به برندهایی مانند سیسکو
جمع بندی
پیکربندی فایروال میکروتیک با شناخت زنجیره ها، اولویت بندی قوانین و تست دقیق در Safe Mode انجام می شود. رعایت ترتیب صحیح قوانین، استفاده هوشمندانه از Address List و تفکیک NAT از filter rules، پایه یک شبکه امن را می سازد. اگر این مراحل را گام به گام دنبال کنید، روتر شما در برابر بیشتر تهدیدهای رایج مقاوم خواهد بود. برای یادگیری عمیق تر مباحث شبکه و امنیت، مقالات تخصصی دیگر تکنوسین را هم دنبال کنید.
سوالات متداول
1. آیا میکروتیک به صورت پیش فرض فایروال فعال دارد؟ روترهای جدید میکروتیک با تنظیمات پیش فرض کارخانه معمولا چند قانون پایه دارند، اما این تنظیمات برای یک شبکه واقعی کافی نیست. حتما باید قوانین اختصاصی بر اساس نیاز شبکه خود اضافه کنید.
2. تفاوت بین filter rule و NAT چیست؟ filter rule تصمیم می گیرد بسته اجازه عبور دارد یا نه، اما NAT فقط آدرس یا پورت بسته را تغییر می دهد. این دو بخش کاملا مستقل از هم عمل می کنند و ترتیب پردازش متفاوتی دارند.
3. چطور می توان از قفل شدن روتر بعد از تغییر فایروال جلوگیری کرد؟ همیشه از Safe Mode در Winbox استفاده کنید. اگر اتصال قطع شود، تغییرات به صورت خودکار برگردانده می شوند و روتر در حالت قبلی باقی می ماند.
4. آیا فایروال میکروتیک برای شبکه خانگی هم لازم است؟ بله، حتی در شبکه خانگی هم روتر در معرض اسکن های خودکار اینترنتی قرار دارد. یک تنظیمات اولیه فایروال میکروتیک ساده می تواند بخش زیادی از این ریسک را کاهش دهد.
5. چند قانون فایروال باعث افت عملکرد روتر می شود؟ تعداد قوانین به توان پردازشی روتر بستگی دارد، اما استفاده از Address List و زنجیره های سفارشی به جای صدها قانون تکراری، فشار روی پردازنده را به شکل قابل توجهی کاهش می دهد.
6. آیا میکروتیک در برابر حملات DDoS بزرگ کافی است؟ برای حملات حجیم در سطح اینترنت، معمولا نیاز به سرویس های تخصصی ضد DDoS در سطح ارائه دهنده اینترنت هم هست. فایروال میکروتیک بیشتر برای حملات کوچک تا متوسط و محافظت از منابع داخلی روتر مناسب است.