Velmi častým úkolem při práci se síťovými zařízeními je nastavení přímého přenosu (passthrough) MikroTik Firewall. Termín "přímý přenos" znamená, že provoz sítě procházející směrovačem MikroTik bude přeskakován bez jakýchkoli změn a filtrací.
Hlavní výhodou takového nastavení je, že umožňuje přenos dat sítě bez jakéhokoli zpoždění nebo transformace, což je zvláště důležité při používání aplikací, které vyžadují minimální latenci a stabilní připojení.
Chcete-li nastavit přímý přenos v MikroTik Firewall, musíte provést několik akcí. Nejprve se musíte ujistit, že v nastavení routeru je povoleno přesměrování paketů (IP forwarding). Poté je nutné vytvořit pravidla filtrování, která umožní průchod všech paketů beze změn.
Příklad pravidla pro přeskočení všech balíčků:
/ip firewall filter add chain=forward action=accept
Nastavení přímého přenosu (passthrough) v MikroTik Firewall tedy umožňuje přenos síťového provozu bez jakýchkoli změn nebo filtrování, což zajišťuje minimální latenci a stabilní připojení.
Koncept přímého přenosu v MikroTik Firewall
Přímý přenos lze použít například k navázání komunikace mezi dvěma sítěmi na různých rozhraních routeru, aniž by se na balíčky vztahovala pravidla filtrování nebo změna nastavení sítě. To může být užitečné, když je nutné přenést provoz bez překážek nebo vytvořit most mezi rozhraními.
Je však třeba být opatrní při používání přímého přenosu, protože přeskakuje pakety bez kontroly, je možné přistupovat k zakázaným zdrojům nebo vytvořit zranitelné místo v síti. Proto se doporučuje stanovit omezení používání této funkce, aby se předešlo možným bezpečnostním hrozbám.
Výhody použití přímého přenosu v MikroTik Firewall:
- Zlepšení výkonu, protože provoz prochází zpracováním, filtrováním a změnami dat;
- Možnost vytvoření mostu mezi rozhraními;
- Zajištění bezproblémového přenosu provozu mezi sítěmi.
Je důležité si uvědomit, že používání přímého přenosu musí být prováděno v souladu s bezpečnostními předpisy a požadavky sítě, aby nedošlo k hrozbám a porušení ochrany informací.
Část 1: konfigurace VPN a Firewall
V této části se podíváme na hlavní kroky pro konfiguraci VPN a Firewall na zařízeních MikroTik.
- Konfigurace VPN
- Vytvoření serveru VPN
- Konfigurace klienta VPN
- Nastavení Firewall
- Nastavení pravidel filtrování provozu
- Nastavení pravidel NAT
Podle těchto kroků budete moci nakonfigurovat VPN a Firewall na vašem zařízení MikroTik a zajistit bezpečnost vaší sítě. To vám umožní kontrolovat a chránit vaše data a zdroje.
Krok 1: Vytvoření serveru VPN
VPN (Virtual Private Network) umožňuje zabezpečené připojení mezi vaším zařízením a vzdálenou sítí nebo serverem šifrováním dat. To zajišťuje soukromí a ochranu informací přenášených prostřednictvím sítě.
Chcete-li vytvořit VPN server na Mikrotik routeru, postupujte podle následujících kroků:
| Krok 1 | Otevřete Winbox a připojte se k routeru. |
| Krok 2 | V hlavní nabídce přejděte na "IP" a vyberte "IPsec". |
| Krok 3 | Klikněte na tlačítko" Policy "a poté na"Add New". |
| Krok 4 | V poli " Src. Address " zadejte IP adresu vaší místní sítě a do pole "Dst. Address " zadejte IP adresu vzdálené sítě. |
| Krok 5 | Vyberte " Auto "v poli" akce "a klikněte na"OK". |
| Krok 6 | V hlavní nabídce přejděte na "Interfaces" a vyberte "SSTP Server". |
| Krok 7 | Povolte SSTP server, nastavte IP adresu a Port a vyberte certifikát pro šifrování dat. |
| Krok 8 | Klepnutím na tlačítko" Apply " uložíte nastavení. |
Po dokončení těchto kroků, VPN server bude vytvořen na vašem Mikrotik routeru. Nyní se k němu můžete připojit pomocí klientského softwaru VPN na vašem zařízení a nakonfigurovat přímý přenos pro vaši místní síť.
Krok 2: Vytvoření pravidel Firewall
Po úspěšném provedení nastavení přímého přenosu (passthrough) je nutné vytvořit pravidla Firewall pro bezpečnost a kontrolu provozu.
1. Otevřete webové rozhraní MikroTik a přihlaste se.
2. Na panelu nástrojů vyhledejte sekci "Firewall" a vyberte ji.
3. V levé nabídce vyberte " Raw "a kliknutím na tlačítko" Add New " vytvořte nové pravidlo.
4. V poli "Chain" vyberte řetězec, pro který bude pravidlo vytvořeno. Nejčastěji se používá řetězec " input "pro příchozí provoz nebo" forward " pro střední provoz.
5. V poli "Akce" vyberte akci, která provede pravidlo. Například " accept "pro povolení provozu nebo" drop " pro blokování.
6. V poli " Src. Address " zadejte původní IP adresu nebo rozsah adres, ze kterých bude provoz vycházet.
7. V poli " Dst. Address " zadejte cílovou IP adresu nebo rozsah adres, na které bude provoz přesměrován.
8. V poli "Protocol" vyberte protokol, který má být použit pro toto pravidlo.
9. V poli " Src. Port " zadejte zdrojový port nebo rozsah portů, ze kterých bude provoz vycházet.
10. V poli " Dst. Port " zadejte cílový port nebo rozsah portů, na které bude provoz přesměrován.
11. V případě potřeby můžete přidat další možnosti, jako je časový limit, označování paketů atd.
12. Klikněte na tlačítko "Apply" pro uložení pravidla.
Pravidlo Firewall je úspěšně vytvořeno a připraveno k použití. Opakujte kroky 3-12 a v případě potřeby vytvořte další pravidla. Nezapomeňte zkontrolovat a otestovat vytvořená pravidla, abyste se ujistili, že fungují správně.
Část 2: funkce přímého přenosu v MikroTik Firewall
Pomocí funkce přímého přenosu lze dosáhnout výrazného zvýšení výkonu sítě, protože zbytečný provoz neprochází složitými pravidly filtrování a zpracování integrovaného firewallu.
Před použitím funkce přímého přenosu je však třeba zvážit několik funkcí:
| 1. | Přímý přenos nefunguje s NAT (Network Address Translation) a v důsledku toho není možný přenos mezi různými síťovými rozhraními. |
| 2. | V případě použití přímého přenosu bude zabezpečení vaší sítě zcela záviset na zařízeních za routerem, protože nebudou chráněny vestavěným firewallem. |
| 3. | Pokud povolíte přímý přenos na síťovém rozhraní, které je v jedné podsíti se zařízeními, která vyžadují ochranu, budou tato zařízení zcela nechráněna. |
Je třeba si uvědomit, že oprava chyb nebo přidání nových pravidel filtrování může vyžadovat čas a po celou dobu bude provoz procházet routerem bez zpracování nebo filtrování. Před použitím přímého přenosu je proto nutné pečlivě vyhodnotit potenciální rizika a formulovat příslušnou bezpečnostní strategii.
Režim transparentnosti a zabezpečení
Režim průhlednosti neboli "přímý přenos" (passthrough) v MikroTik Firewall umožňuje přepravu síťových paketů přes zařízení s minimálním zpracováním. Namísto úplného průchodu systémem filtrování paketů umožňuje průhledný režim paketům procházet zařízením beze změn a zachovat jejich původní adresu a trasu.
Je však třeba vzít v úvahu, že transparentnost neznamená úplnou bezpečnost. Použití režimu průhlednosti může usnadnit nastavení sítě, ale také představuje bezpečnostní riziko, protože umožňuje obejít filtrační systém a přeskočit potenciálně škodlivé pakety nebo útoky.
Při používání režimu transparentnosti je třeba přijmout další opatření k zabezpečení sítě. To může zahrnovat omezení zdrojů, kontrolu přístupu, filtrování provozu a další opatření zaměřená na ochranu sítě a prevenci možných útoků a zásahů.
Doporučuje se používat režim průhlednosti v kombinaci s jinými bezpečnostními metodami, jako je firewall, IDS, VPN a další zabezpečení. Je také důležité pravidelně aktualizovat a kontrolovat nastavení zabezpečení a sledovat aktualizace firmwaru zařízení, abyste zajistili maximální bezpečnost vaší sítě.
Možnosti nastavení filtrování provozu
Nastavení přímého přenosu (passthrough) MikroTik Firewall poskytuje různé možnosti pro filtrování provozu. Pomocí MikroTik Firewall můžete ovládat přístup k určitým portům a protokolům, aplikovat pravidla NAT, používat různé filtry paketů a další.
Jedním z hlavních nástrojů pro přizpůsobení filtrování provozu v MikroTik Firewall jsou pravidla pro filtrování paketů. Pomocí pravidel filtrování paketů můžete určit, které pakety by měly být povoleny nebo zakázány pro průchod směrovačem MikroTik.
MikroTik Firewall také umožňuje přizpůsobit pravidla NAT. Pravidla NAT umožňují změnit IP adresu nebo port paketu procházejícího směrovačem MikroTik. Takové změny mohou být užitečné například při konfiguraci Port forwardingu nebo při vytváření VPN tunelu.
Kromě toho lze pomocí Mikrotik Firewall konfigurovat mnoho dalších možností filtrování provozu, jako je maskování IP adres, filtrování MAC adres, QoS tagů, filtrování portů, protokolů a další.
Všechny tyto funkce vám umožňují podrobně nakonfigurovat filtrování provozu na směrovači MikroTik a zajistit bezpečnost a efektivitu vaší sítě.
Část 3: způsoby nastavení přímého přenosu
Způsoby nastavení přímého přenosu v MikroTik Firewall:
- Masquerade (Masquerade). Proces nahrazení původní IP adresy paketu adresou konkrétního rozhraní v MikroTik Firewall. Tato metoda je nejjednodušší a nejběžnější způsob nastavení přímého přenosu.
- Použití cílových portů (Destination NAT). Přesměrování příchozích paketů na konkrétní porty interní sítě, aby bylo dosaženo konkrétního systému nebo služby.
- Označování balíčků (Packet Marketing). Proces přiřazování štítků (tagů) určitým balíčkům, který umožňuje přímý přenos na základě těchto štítků pomocí jiných pravidel směrování.
- Využití sítí virtuálních Lan (VLAN Passthrough). Režim přenosu, ve kterém jsou data přenášena přímo bez změny nebo zpracování uvnitř VLAN.
- Integrace s jinými síťovými zařízeními. Možnost přenosu provozu do jiného síťového zařízení (router, přepínač atd.) pro pozdější zpracování.
Výběr konkrétního způsobu nastavení přímého přenosu v MikroTik Firewall závisí na potřebách a požadavcích vaší sítě a lze jej provést pomocí příslušných příkazů a konfiguračních pravidel.