IPv4 негіздері

Желі модельдері (Networking Models)

Компьютерлік желілер — бұл көптеген компоненттер мен хаттамалардың бірігіп жұмыс істеуі. Екі түйін (node) арасындағы байланыс қалай жүзеге асатынын түсіну үшін OSI моделі мен TCP/IP моделін қарастыруымыз қажет. Бұл модельдер түйіндер арасындағы байланысты елестетуге көмектеседі.

Ethernet

Компьютерлік желілерде ең жиі қолданылатын 2-қабат (OSI Layer 2) хаттамасы — Ethernet. Байланыс орнату үшін әрбір түйінге (node) бірегей MAC мекенжайы (Media Access Control address) тағайындалады. Бұл мекенжай кейде Ethernet мекенжайы деп те аталады.

MAC мекенжайы 48-биттік, әдетте құрылғы өндірушісімен алдын ала белгіленіп қойылады (өзгертілмейді). Алайда соңғы жылдары MAC мекенжайын өзгерту мүмкіндігі кеңінен қолданылады. Мысалы, MikroTik RouterOS жүйесінде MAC мекенжайын өзгертуге болады.

Ең жиі қолданылатын MAC мекенжай форматы — алты он алтылық сан, екі нүкте арқылы бөлінген: D4:CA:6D:01:22:96

RouterOS жүйесінде барлық Ethernet типті интерфейстер (мысалы, Wireless, 60G, VPLS және т.б.) үшін MAC мекенжай көрсетіледі:

          [admin@rack1_b32_CCR1036] /interface ethernet> print 
          Flags: X - disabled, R - running, S - slave 
          #    NAME                  MTU MAC-ADDRESS       ARP             SWITCH               
          0 R  ether1               1500 D4:CA:6D:01:22:96 enabled        
          1 R  ether2               1500 D4:CA:6D:01:22:97 enabled        
          2 R  ether3               1500 D4:CA:6D:01:22:98 enabled        
          3    ether4               1500 D4:CA:6D:01:22:99 enabled        
          4    ether5               1500 D4:CA:6D:01:22:9A enabled        
          5    ether6               1500 D4:CA:6D:01:22:9B enabled        
          6    ether7               1500 D4:CA:6D:01:22:9C enabled        
          7 R  ether8               1500 D4:CA:6D:01:22:9D enabled        
          8    sfp-sfpplus1         1500 D4:CA:6D:01:22:94 enabled        
          9    sfp-sfpplus2         1500 D4:CA:6D:01:22:95 enabled        
              

MAC мекенжай түрлері

• Unicast мекенжай: Бұл мекенжай арқылы Ethernet кабелімен тікелей жалғанған құрылғылар немесе сымсыз сигналды қабылдай алатын құрылғылар арасында мәлімет жіберіледі. Тек нақты MAC мекенжайы сәйкес келетін құрылғы ғана бұл фреймді қабылдайды (егер promiscuous режим қосылмаған болса).
• Broadcast мекенжай: FF:FF:FF:FF:FF:FF — арнайы мекенжай. Барлық құрылғылар бұл фреймді қабылдайды және 2-қабаттағы желі бойынша таратады.
• Multicast мекенжай: Белгілі бір топқа бағытталған фреймдер. Бұл мекенжай арқылы тек сол топқа жазылған құрылғылар ғана мәліметті қабылдайды.

IP желілеу (IP Networking)

Ethernet протоколы екі түйін (node) арасында дерек жіберуге жеткілікті болғанымен, ол жалғыз өзі қолданылмайды. OSI үлгісінің 3-қабаты — Желі (Network) қабатында хосттарды логикалық мекенжайлар арқылы сәйкестендіру үшін IP (Internet Protocol) хаттамасы пайдаланылады.

Қазіргі желілердің көпшілігі IPv4 мекенжайларын қолданады. Олар 32-биттік мекенжайлар және нүктелі ондық форматта жазылады, мысалы: 192.168.88.1

Бірнеше логикалық желілер болуы мүмкін, және белгілі бір IP мекенжайдың қай желіге тиесілі екенін анықтау үшін желі маскасы (netmask) қолданылады. Маска әдетте логикалық желіні анықтайтын биттер саны ретінде жазылады. Мысалы, /24 маскасы ондық форматта 255.255.255.0 деп жазылады.

Мысал: 192.168.3.24/24

          11000000 10101000 00000011 00011000 => 192.168.3.24
          11111111 11111111 11111111 00000000 => /24 немесе 255.255.255.0
              

Жоғарыдағы көріністе жоғарғы 24 бит маска арқылы белгіленіп, нәтижесінде желі диапазоны 0-ден 255-ке дейінгі аралықта болады.

• Желі мекенжайы: Бірінші мекенжай — 192.168.3.0
• Broadcast мекенжайы: Соңғы мекенжай — 192.168.3.255
• Unicast мекенжайлар: Құрылғылар үшін қолжетімді мекенжайлар — 192.168.3.1 бастап 192.168.3.254 дейін

IP-де арнайы мекенжайлар

• Broadcast: Барлық қабылдаушыларға дерек жіберуге арналған мекенжай. IPv4 жүйесінде 255.255.255.255 — жергілікті трансляция үшін қолданылады. Сонымен қатар бағытталған (directed) трансляцияны да желі соңғы мекенжайына жасауға болады (мысалы, 192.168.3.255).
• Multicast: Белгілі бір топқа жіберілетін мекенжайлар. IPv4 желісінде 224.0.0.0 бастап 239.255.255.255 дейінгі аралық multicast ретінде белгіленген. Жіберуші тек бір дана датаграмманы осы топ мекенжайына жібереді, ал аралық маршрутизаторлар оны топқа тіркелген барлық қабылдаушыларға таратады.

Арнайы мақсаттағы мекенжай диапазондары

Төмендегі мекенжайлар жергілікті желіде қолдануға арналған және интернетке шыққанда әдетте маршрутизаторлар арқылы қабылданбайды (drop):

• 10.0.0.0/8 — басталуы: 10.0.0.0; аяқталуы: 10.255.255.255
• 172.16.0.0/12 — басталуы: 172.16.0.0; аяқталуы: 172.31.255.255
• 192.168.0.0/16 — басталуы: 192.168.0.0; аяқталуы: 192.168.255.255

ARP және бәрін байланыстыру

IP пакеттері IP мекенжайларымен жіберілсе де, деректерді бір құрылғыдан екінші құрылғыға нақты жеткізу үшін аппараттық (MAC) мекенжайлар қолданылады.

Бұл жерде ARP (Address Resolution Protocol) — Мекенжай түрлендіру протоколы маңызды рөл атқарады. Ол IP мекенжайды MAC мекенжайға сәйкестендіруге қолданылады. ARP протоколы RFC 826-да сипатталған.

Әр желі құрылғысы ARP кестесіне (кэш) ие. Бұл кесте желіде белсенді түрде қолданылып жатқан IP ↔ MAC сәйкестіктерін сақтайды. Кесте әдетте автоматты түрде (динамикалық) құрылады, бірақ желі қауіпсіздігін арттыру үшін оны толық немесе ішінара статикалық етуге болады.

ARP қалай жұмыс істейді?

Локальды желідегі (LAN) хост екінші хостқа IP пакетті жібергісі келген кезде, алдымен оның MAC мекенжайын ARP кэшінен іздейді. Егер MAC мекенжай табылмаса, ARP сұранысы жіберіледі.

Бұл сұраныс барлық құрылғыларға (broadcast арқылы) таратылады. Онда былай делінеді: “Кімде 192.168.88.123 IP мекенжайы бар? MAC мекенжайыңды жібер!”

Белгіленген IP-ге ие құрылғы өзінің MAC мекенжайын көрсетіп, ARP жауабын қайтарады. Осылайша жіберуші құрылғы енді MAC мекенжайды біліп, Ethernet кадрын жібере алады.

ARP әрекетінің қысқаша қадамдары

1. Жіберуші құрылғы мақсатты IP үшін ARP кэшін тексереді.
2. Егер MAC мекенжай табылмаса — ARP сұранысы (broadcast) жасалады.
3. Мақсатты IP-ге ие құрылғы ARP жауабын жібереді (unicast).
4. MAC мекенжай ARP кэшіне сақталады.
5. Пакет мақсатты құрылғыға MAC мекенжай арқылы жіберіледі.

ARP — IPv4 желілеріндегі негізгі протоколдардың бірі. Бірақ оны дұрыс бақылау мен басқару қажет, себебі ARP spoofing сынды шабуыл түрлері осы протоколды пайдаланады.

ARP жұмысын практикалық түрде қарау (Ping кезінде)

Host A құрылғысынан Host C құрылғысына ping жіберу кезінде не болатынын қарастырайық.

1-қадам: Хосттарға IP мекенжайларын тағайындау

Host A:

 /ip address add address=10.155.101.225 interface=ether1

Host B:

 /ip address add address=10.155.101.221 interface=ether1

Host C:

 /ip address add address=10.155.101.217 interface=ether1

2-қадам: Пакеттерді ұстап алу (sniffing)

Host A құрылғысында packet sniffer іске қосылып, барлық пакеттер arp.pcap файлына жазылады:

          /tool sniffer
            set file-name=arp.pcap filter-interface=ether1
            start 
          /ping 10.155.101.217 count=1
            stop
            

Бұл файлды кейін Wireshark бағдарламасы арқылы талдауға болады.

3-қадам: Процестің кезеңдері

• Host A ARP сұранысын жібереді: "10.155.101.217 кімнің мекенжайы?"
• Host C ARP жауабын қайтарады: "10.155.101.217 — менікі, менің MAC мекенжайым: 08:00:27:3C:79:3A"
• Екі құрылғы да өздерінің ARP кестелерін жаңартады.
• Енді ICMP (ping) сұранысы MAC арқылы нақты жіберіледі.

4-қадам: ARP кестесін тексеру

RouterOS жүйесінде ARP кестесін келесі команданың көмегімен көруге болады:

 /ip arp print

Host A кестесі:

          [admin@host_a] /ip arp> print 
          Flags: X - disabled, I - invalid, H - DHCP, D - dynamic, P - published, 
          C - complete 
          #    ADDRESS         MAC-ADDRESS       INTERFACE                          
          0 DC 10.155.101.217  08:00:27:3C:79:3A ether1
            

Host B кестесі:

          [admin@host_b] /ip arp> print 
          Flags: X - disabled, I - invalid, H - DHCP, D - dynamic, P - published, 
          C - complete 
          #    ADDRESS         MAC-ADDRESS       INTERFACE                         
          0 DC 10.155.101.225  08:00:27:85:69:B5 ether1
            

Мұндай практикалық ARP үлгісі арқылы желі деңгейіндегі байланыс қалай орнайтынын нақты бақылауға болады. Бұл желіні диагностикалау мен оқыту үшін пайдалы тәжірибе.

ARP режимдері

Жоғарыда көрсетілген мысалдарда RouterOS жүйесіндегі интерфейстерде ARP әдепкі бойынша қосулы (enabled) болды. Дегенмен, кей жағдайларда ARP-тің басқа режимдерін қолдану қажет болуы мүмкін. RouterOS жүйесінде ARP-ті әр интерфейс үшін жеке орнатуға болады.

1. enabled (қосулы)

Бұл — әдепкі режим. ARP сұраныстары автоматты түрде жасалады, және динамикалық түрде жаңа жазбалар ARP кестесіне қосылады.

2. disabled (өшірулі)

Бұл режимде роутер ARP сұраныстарына жауап бермейді. Сол себепті, басқа құрылғыларда статикалық ARP жазбаларды қолмен қосу қажет.

Мысалы, Host A құрылғысы үшін Host C-нің MAC және IP мекенжайын көрсету керек:

          [admin@host_a] > /ip arp add mac-address=08:00:27:3C:79:3A address=10.155.101.217 interface=ether1
            

3. reply-only (тек жауап беру)

Бұл режимде роутер тек ARP сұраныстарына жауап береді, бірақ ешқашан жаңа ARP жазбаларды өздігінен жасамайды. Барлық қажетті ARP жазбалар статикалық түрде /ip arp арқылы енгізілуі керек.

Бұл disabled режиміне қарағанда ыңғайлырақ, себебі басқа құрылғыларға роутердің MAC мекенжайын қосудың қажеті жоқ.

4. proxy-arp

Proxy ARP режимі роутерге екі тікелей қосылған желі арасында "көпір" сияқты әрекет етуге мүмкіндік береді. Яғни, роутер басқа желінің атынан ARP жауап береді.

Бұл әсіресе, егер PPP, PPPoE немесе PPTP клиенттеріне жергілікті LAN желісімен бірдей IP адрес диапазонын беру қажет болса, өте пайдалы.

Proxy ARP мысалы

Мысал жағдайы: Host A (IP: 172.16.1.2) Subnet A ішінде орналасқан және Host D (IP: 172.16.2.3) Subnet B ішінде орналасқан. Host A-да /16 маскасы болғандықтан, ол 172.16.0.0/16 желісін өзімен тікелей байланысты деп есептейді.

Host A, Host D-ге пакеттер жібергісі келгенде, алдымен оның MAC адресін анықтау үшін ARP сұранысын таратады:

          ARP Request: Who has 172.16.2.3? Tell 172.16.1.2
          Source MAC: 00:1b:38:24:fc:13
          Destination MAC: ff:ff:ff:ff:ff:ff (Broadcast)
            

Бұл ARP сұранысы Layer 2 деңгейінде тек бір broadcast домен ішінде таралады, яғни маршрутизатордың ether0 интерфейсіне дейін ғана жетеді. Бірақ маршрутизатор ARP сұранысын басқа желіге жібермейді.

Proxy ARP әрекеті

Маршрутизатор 172.16.2.3 IP адресі өзге желіде екенін білгенімен, оған қол жеткізе алады. Сол себепті, ол өз MAC адресімен жауап қайтарады:

          ARP Reply: 172.16.2.3 is at 00:0c:42:52:2e:cf
          Sender IP: 172.16.1.254 (Router)
          Sender MAC: 00:0c:42:52:2e:cf
            

Host A енді 172.16.2.3-ке жіберілетін барлық пакеттерді маршрутизаторға жібереді. Бұл – Proxy ARP әрекеті: маршрутизатор "маған жібер, мен жеткізем" деп Host D-ге баратын трафикті өзіне тартады.

ARP кэш мысалы

          Interface: 173.16.2.1 --- 0x8
          Internet Address      Physical Address      Type
          172.16.1.254          00-0c-42-52-2e-cf    dynamic
          172.16.2.3            00-0c-42-52-2e-cf    dynamic
            

Бірнеше IP адрес бір MAC адреспен байланыстырылған, яғни барлық Subnet B хосттары үшін Host A ARP кэшінде бір ғана MAC — маршрутизатордың MAC адресі жазылған.

RouterOS жүйесінде Proxy ARP қосу

ARP режимін өзгерту үшін келесі команданы орындауға болады:

          [admin@MikroTik] /interface ethernet> set 1 arp=proxy-arp
          [admin@MikroTik] /interface ethernet> print
          Flags: X - disabled, R - running
            #    NAME     MTU  MAC-ADDRESS         ARP
            0  R ether1   1500 00:30:4F:0B:7B:C1   enabled
            1  R ether2   1500 00:30:4F:06:62:12   proxy-arp
            

Local Proxy ARP

Local Proxy ARP — бұл маршрутизатор трафикті сол бір интерфейс ішінде қабылдап және жіберетін кезде ғана Proxy ARP орындайтын режим. Яғни, кіріс және шығыс пакеттер бір интерфейстен өтеді.

Local Proxy ARP қай кезде қажет?

Кейбір арнайы желілік архитектураларда — мысалы, RFC 3069-ға сәйкес конфигурацияларда — бір свитч ішіндегі порттар бір-бірімен байланыса алмайды, бірақ маршрутизатормен байланыса алады. Мұндай жағдайда Local Proxy ARP маршрутизаторға өз интерфейсі арқылы қосылған хосттарды бір-бірімен байланыстыруға мүмкіндік береді.

Әртүрлі атаулары

• RFC 3069: VLAN Aggregation
• Cisco, Allied Telesis: Private VLAN
• Hewlett-Packard (HP): Source-Port Filtering немесе Port Isolation
• Ericsson: MAC-Forced Forwarding (RFC Draft)

RouterOS жүйесінде қосу

local-proxy-arp режимін қосу үшін:

          [admin@MikroTik] /interface ethernet> set ether2 arp=local-proxy-arp
          [admin@MikroTik] /interface ethernet> print
          Flags: X - disabled, R - running
          #    NAME     MTU  MAC-ADDRESS         ARP
          0  R ether1   1500 00:30:4F:0B:7B:C1   enabled
          1  R ether2   1500 00:30:4F:06:62:12   local-proxy-arp
            

TCP қосылымын орнату және тоқтату

TCP (Transmission Control Protocol) — бұл қосылымға бағдарланған (connection-oriented) протокол. Бұл дегеніміз, мәлімет жіберілмес бұрын екі құрылғы арасында сенімді байланыс орнатылады.

Connection-less протоколдар (мысалы, UDP) керісінше — байланыс орнатуды күтпестен, мәліметті бірден жібереді.

Қосылым орнату — Үш жақты келісім (3-way handshake)

TCP қосылымды орнату үшін үш кезеңнен тұратын үш жақты келісімді (3-way handshake) қолданады:

1. Host A SYN пакетін жібереді, бастапқы реттік нөмір (Sequence Number) ұсынады.
2. Host B SYN-ACK пакетін қайтарады — яғни өзінің SYN және ACK белгілерін қосады.
3. Host A соңғы ACK пакетін жібереді.

Мәлімет жіберу кезіндегі растау

TCP әрбір жіберілген пакетті ACK арқылы растауды күтеді. Егер растау уақытылы келмесе, пакет қайта жіберіледі — бұл TCP-ның сенімділігін қамтамасыз етеді.

Қосылымды тоқтату — Төрт фазалы процесс (4-way handshake)

TCP қосылымды аяқтау үшін төрт кезеңнен тұратын төрт жақты келісімді қолданады:

1. Host A FIN пакетін жібереді — "мен мәлімет жіберуді аяқтадым" деген белгі.
2. Host B ACK пакетін қайтарады және CLOSE_WAIT күйіне өтеді.
3. Host B, егер мәлімет жіберуді аяқтаса, FIN пакетін жібереді және LAST_ACK күйіне өтеді.
4. Host A ACK қайтарады және TIME_WAIT күйінде біраз уақыт күтіп, содан кейін қосылым толығымен тоқтатылады.

TCP Жағдайлары (States)

• ESTABLISHED – қосылым толық орнатылды.
• CLOSE_WAIT – қарсы тарап қосылымды тоқтатқысы келеді.
• LAST_ACK – соңғы растауды күту сәті.
• TIME_WAIT – қауіпсіздік мақсатында соңғы ACK-тен кейін біраз уақыт күту.

TCP Сегменттерді жіберу және Терезе механизмі (Windowing)

TCP қосылымы орнатылғаннан кейін, екі құрылғы арасында мәліметтерді сенімді жіберу және қабылдау процесі басталады. Бұл процесті TCP арнайы ағынды басқару (Flow Control) механизмдері арқылы жүзеге асырады.

Мәселе неде?

Егер жіберуші құрылғы қабылдаушы құрылғыдан тезірек мәлімет жіберсе, қабылдаушы жағы буфер (buffer) толып кетсе, артық мәліметтер жоғалады (drop). Бұл жағдай қайта жіберуге әкеліп, желі жылдамдығын төмендетеді.

Шешімі — Терезе (Window) механизмі

TCP осы мәселені шешу үшін терезе өлшемі (Window Size) ұғымын енгізеді. Бұл — қабылдаушы құрылғының қазіргі уақытта қабылдауға дайын байттар саны. Әрбір ACK хабарламасында қабылдаушы құрылғы терезе өлшемін жаңартып жібереді.

Жұмыс принципі

• Host A бастапқыда терезе өлшемі ретінде 1000 байт алады және бір 1000 байттық сегмент жібереді.
• Host B ACK қайтарады және терезе өлшемін 2000 байтқа дейін ұлғайтады.
• Host A екі сегмент (1000 байттан) жібереді.
• Host B терезе өлшемін 3000 байтқа дейін ұлғайтады, Host A үш сегмент жібереді.
• Буфер тола бастағанда, Host B терезе өлшемін 0 деп жариялайды (zero window).
• Host A тоқтайды және оң терезе өлшемін (positive window) алғанға дейін күтіп тұрады.

Терезе динамикасын басқару алгоритмдері

Терезе өлшемін қалай ұлғайту немесе азайту керектігін басқару үшін түрлі конгестияны болдырмау алгоритмдері (congestion avoidance algorithms) қолданылады:

• TCP Reno
• TCP Tahoe
• TCP Vegas
• Және тағы басқалары

IPv4 адрестеу

IP Адрестер туралы жалпы шолу

IP адрестер — IP желілеріндегі құрылғыларды (хосттарды) анықтауға арналған. IPv4 адресі төрт октеттен тұрады (әр октет 8 бит), мысалы:

 11000000 10101000 00000011 00011000 => 192.168.3.24

IP адресін дұрыс қолдану үшін желі маскасы қажет. Бұл маска адрес қандай биттері желіге, ал қайсысы хостқа тиесілі екенін анықтайды. Желілік адрес бинарлы AND операциясы арқылы есептеледі.

IPv4 желісі құрамына кіретін үш негізгі адрес түрі:

• Желі адресі (Network Address) — желіні білдіретін адрес, мысалы: 192.168.1.0;
• Тарату адресі (Broadcast Address) — желідегі барлық хосттарға жіберу үшін, мысалы: 192.168.1.255;
• Хост адресі (Host Address) — желідегі нақты құрылғыларға бөлінген адрес, мысалы: 192.168.1.2 - 254 (192.168.1.0/24 желісінде).

IP Адрестің түрлері:

• Unicast — бір құрылғыға арналған адрес;
• Broadcast — желідегі барлық құрылғыларға арналған адрес (255.255.255.255 - жергілікті broadcast);
• Multicast — арнайы топқа арналған адрес (224.0.0.0 - 239.255.255.255 диапазоны).

Жеке (Private) IP адрес диапазондары (RFC 6890):

• 10.0.0.0/8 (10.0.0.0 - 10.255.255.255)
• 172.16.0.0/12 (172.16.0.0 - 172.31.255.255)
• 192.168.0.0/16 (192.168.0.0 - 192.168.255.255)

Бұл адрес диапазондары ғаламдық маршрутизацияда қолданылмайды, NAT арқылы сыртқы желіге шығарылады.

Арнайы бөлінген адрес диапазондары:

• 198.18.0.0/15 — тестілеу және бенчмаркинг үшін;
• 192.88.99.0/24 — 6to4 relay anycast;
• 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24 — құжаттамалық адрес;
• 169.254.0.0/16 — авто-конфигурация адресі (APIPA).

IP адресін қосу мысалы

Екі маршрутизатордың тікелей қосылған жағдайын қарастырайық, IP адресін үнемдеу үшін /32 маска қолданылады:

                  /ip address
                  add address=10.1.1.1/32 interface=ether1 network=172.16.1.1
                

                  /ip address
                  add address=172.16.1.1/32 interface=ether1 network=10.1.1.1
                

IP Pool

IP Pool — IP Адрес Резерві

IP pools — бұл әртүрлі MikroTik қызметтері (мысалы, DHCP сервер, PPPoE сервер және т.б.) үшін қолданылатын IP адрестерінің ауқымын анықтайтын функция. IPv4 және IPv6 үшін бөлек тізімдер болады. Егер мүмкін болса, әр клиентке бұрын алған адресі (OWNER/INFO жұбы арқылы) қайта беріледі.

IPv4 Pool параметрлері:

• name — IP pool-дың атауы (уникалды болуы керек);
• ranges — IP мекенжай диапазоны (қапталмайтын болуы керек);
• next-pool — ағымдағы пулда бос IP болмаса, келесі пулдан алуға мүмкіндік береді;
• comment — қысқаша сипаттама (міндетті емес).

Мысал конфигурация

Мақсат: my-pool деп аталатын пулда 10.0.0.2-10.0.0.99 және 10.0.0.101-10.0.0.126 диапазонында IP адрестер болсын (яғни 10.0.0.1 және 10.0.0.100 босатылған), ал dhcp-pool пулында 10.0.0.200-10.0.0.250 диапазоны.

[admin@MikroTik] ip pool> add name=my-pool ranges=10.0.0.2-10.0.0.99,10.0.0.101-10.0.0.126
        [admin@MikroTik] ip pool> add name=dhcp-pool ranges=10.0.0.200-10.0.0.250
        [admin@MikroTik] ip pool> print

          # NAME          RANGES
          0 my-pool       10.0.0.2-10.0.0.99
                          10.0.0.101-10.0.0.126
          1 dhcp-pool     10.0.0.200-10.0.0.250
          

Қолданылып жатқан IP адрестерін көру:

/ip pool used ішкі мәзірінде әр пулдан бөлінген IP адрестер көрінеді.

Оқуға арналған қасиеттер:

• address — клиентке бөлінген IP адрес;
• info — DHCP үшін MAC адрес немесе PPP клиенттің аты;
• owner — осы IP адресін қолданатын қызмет атауы;
• pool — IP адресі алынған пулдың атауы.

IP Routing

IP Routing — Бағыттау

Routing (бағыттау) — бұл желілер арасында пакеттерді бір хосттан екіншісіне жеткізу үшін жолды таңдау процесі.

Бағыттаудың жұмыс принципі

Төмендегі мысал арқылы екі жергілікті желі арасында және интернетке шығу үшін бағыттау қалай жұмыс істейтінін қарастырайық.

Желі конфигурациясы:

• Клиенттік желілер: 192.168.1.0/24 және 192.168.2.0/24
• Маршрутизаторларды байланыстыратын желі (backbone): 172.16.1.0/30
• Интернетпен қосылған желі: 10.1.1.0/24

Router2 конфигурациясы

            /ip address
            add address=172.16.1.2/30 interface=ether1
            add address=192.168.2.1/24 interface=bridge2
          

Router1 (интернет шлюзі) конфигурациясы

/ip address
        add address=10.1.1.2/24 interface=ether1
        add address=172.16.1.1/30 interface=ether2
        add address=192.168.1.1/24 interface=bridge1

Алғашқы жағдайда Router1 тек өзі қосылған желілерді ғана біледі. Яғни, егер LAN1 клиенті LAN2 клиентіне (192.168.2.0/24) пакет жіберсе, бұл пакет Router1-де жойылады, өйткені ол желі туралы ақпарат жоқ.

Router1 маршруты:

/ip route print
        DST-ADDRESS     GATEWAY      D
        DAC 10.1.1.0/24 ether1       0
        DAC 172.16.1.0/30 ether2     0
        DAC 192.168.1.0/24 bridge1   0

Мәселені шешу — статикалық маршрут қосу

Router2-ге жету үшін келесі хоп ретінде 172.16.1.2 IP-мекенжайын қолданамыз:

 /ip route add dst-address=192.168.2.0/24 gateway=172.16.1.2

Маршрут кестесі жаңартылады:

/ip route print
        DST-ADDRESS       GATEWAY
        DAC 10.1.1.0/24   ether1
        DAC 172.16.1.0/30 ether2
        DAC 192.168.1.0/24 bridge1
        AS  192.168.2.0/24 172.16.1.2

Енді LAN1 → LAN2 байланысы жұмыс істейді, бірақ кері бағыт әлі жоқ.

Router2-де default маршрут қосу

Router2 үшін жалғыз шығыс Router1 болғандықтан, барлық басқа бағыттарды соған бағыттаймыз:

 /ip route add gateway=172.16.1.1

Қорытынды:

Бұл мысал маршрутизацияның негізгі қағидасын көрсетеді. Әр маршрутизатор өзіне тікелей қосылған желілерді автоматты түрде біледі. Ал басқа желілерге жету үшін статикалық маршруттар немесе динамикалық бағыттау хаттамалары қолданылады.

Маршруттау ақпараты (Routing Information)

RouterOS жүйесінде маршруттау туралы ақпарат екі негізгі бөліктен тұрады:

• FIB (Forwarding Information Base) — пакеттерді бағыттау үшін нақты қолданылатын маршруттар кестесі. Бұл таблица тек қажетті, «ең үздік» маршруттарды ғана қамтиды.
• RIB (Routing Information Base) — бұл барлық алынған маршруттардың (қосылған, статикалық, RIP, OSPF, BGP және т.б.) толық базасы.

RIB — Маршруттау базасы

RIB — бұл желідегі әртүрлі тағайындалу мекенжайларына (prefix) және оларға жетудің келесі құрылғысының (gateway немесе next-hop) мекенжайларына арналған жазбалар сақталатын дерекқор.

Пакет желіден желіге өткен сайын бұл процесс hop деп аталады. Мысалы, егер пакет үш маршрутизатор арқылы өтсе, ол 3 hop-тан өтті деген сөз.

RouterOS жүйесінде әдепкі бойынша барлық маршруттар негізгі (main) маршруттау кестесіне енеді. Қаласаңыз, бірнеше жеке маршруттау кестелерін де жасауға болады (мысалы, policy routing үшін).

RIB не үшін қолданылады?

• Барлық статикалық және динамикалық (OSPF, BGP, RIP) маршруттарды сақтау;
• Желідегі ең үздік маршрутты таңдау және FIB-ке жіберу;
• Әртүрлі бағыттау протоколдары арасында маршруттарды бөлісу;
• Policy routing (саясаттық бағыттау) ережелерін қолдану.

FIB пен RIB арасындағы айырмашылық

Қысқаша айтқанда, RIB — толық маршруттау білімі, ал FIB — нақты қолданылатын бағыттар.

Тікелей қосылған маршруттар (Connected Routes)

Connected routes — маршрутизаторға тікелей қосылған (Layer2 broadcast domain ішінде орналасқан) желілерді білдіреді. Яғни, бұл желідегі құрылғылар маршрутизатордың бір интерфейсіне физикалық немесе логикалық түрде тікелей жалғанған.

Бұл маршруттар /ip address немесе /ipv6 address командалары арқылы интерфейске IP мекенжайы берілген кезде автоматты түрде жасалады. Әрбір белсенді IP интерфейсі үшін RIB (Routing Information Base) жүйесі бір немесе бірнеше тікелей қосылған маршруттарды жасайды.

Connected маршрут сипаттамалары

• dst-address (тағайындалу мекенжайы) — бұл IP мекенжай жазбасының желісімен бірдей.
• netmask — IP мекенжайға берілген маскамен бірдей болады.
• gateway — IP мекенжайға берілген интерфейс болып табылады. Яғни, бұл желідегі құрылғылар дәл осы интерфейс арқылы жетімді болады.

Бұрынғы ROS v6 нұсқаларында preferred source (таңдаулы бастапқы мекенжай) параметрі қолданылатын. Алайда қазіргі RouterOS нұсқаларында FIB (Forwarding Information Base) бастапқы IP мекенжайды шығу интерфейсіне қарай өзі таңдайды. Бұл жүйе маршрутизацияда икемділікті арттырады.

Қысқаша мысал:

/ip address
      add address=192.168.1.1/24 interface=ether1

      /ip route
      print
      

Жоғарыдағы конфигурация нәтижесінде маршрутизатор автоматты түрде келесі маршрутты жасайды:

 DAC 192.168.1.0/24 ether1

Мұндағы D — динамикалық, A — белсенді, C — тікелей қосылған дегенді білдіреді.

Әдепкі маршрут (Default Route)

Default route — маршрутизатор белгілі бір бағытты (destination) маршрут кестесінен таба алмаған кезде қолданылатын маршрут. Бұл бағыт желіден тыс орналасқан кез келген тағайындалу мекенжайларына (мысалы, интернеттегі сайттарға) жол ашуға мүмкіндік береді.

RouterOS жүйесінде әдепкі маршруттың dst-address мәні 0.0.0.0/0 (IPv4 үшін) немесе ::/0 (IPv6 үшін) болып көрсетіледі. Егер маршрутизаторда белсенді әдепкі маршрут бар болса, онда маршрутизация процесі ешқашан сәтсіз аяқталмайды, яғни барлық "белгісіз" трафик осы маршрут арқылы жіберіледі.

Үй маршрутизаторының қарапайым маршрутизатор кестесі:

 /ip route print

Flags: D - dynamic; X - disabled; 
          I - inactive; A - active; C - connect; S - static; r - rip; 
          b - bgp; o - ospf; d - dhcp; v - vpn
         Columns: DST-ADDRESS, GATEWAY, Distance

      #      DST-ADDRESS     GATEWAY      D
      DAd    0.0.0.0/0       10.155.125.1 1
      DAC    10.155.125.0/24 ether12      0
      DAC    192.168.1.0/24  vlan2        0
      

• DAd — динамикалық (D), әдепкі маршрут (A), DHCP арқылы алынған (d).
• GATEWAY — әдепкі бағыт бойынша трафик жіберілетін келесі құрылғы (мысалы, провайдердің шлюзі).

Қолмен әдепкі маршрут қосу:

 /ip route add dst-address=0.0.0.0/0 gateway=10.1.1.1

Мұнда 10.1.1.1 — бұл провайдердің немесе жоғарғы деңгейлі маршрутизатордың IP мекенжайы.

VLAN-ды негізгі қосу (Basic VLAN Switching)

Көптеген MikroTik құрылғыларында аппараттық деңгейде VLAN коммутатор чиптері бар. Бұл дегеніміз – дұрыс конфигурация арқылы жоғары жылдамдықтағы (wire-speed) VLAN жұмысына қол жеткізуге болады.

VLAN конфигурациясы құрылғы моделіне байланысты өзгереді. Бұл нұсқаулықта:

• Trunk порт (тегтелген порт)
• Access порттар (тегтелмеген)
• Басқару (MGMT) VLAN

Аппараттық қолдауы бар модельдер

Төмендегі чиптері бар құрылғылар аппараттық деңгейде VLAN-мен жұмыс істей алады (RouterOS v7-де):

CRS3xx, CRS5xx, CCR2116, CCR2216, RTL8367, 88E6393X, 88E6191X, 88E6190, MT7621, MT7531, EN7562CT

Конфигурация (Bridge арқылы VLAN фильтрациясы)

/interface bridge
        add name=bridge1 frame-types=admit-only-vlan-tagged

        /interface bridge port
        add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged
        add bridge=bridge1 interface=ether2 pvid=20 frame-types=admit-only-untagged-and-priority-tagged
        add bridge=bridge1 interface=ether3 pvid=30 frame-types=admit-only-untagged-and-priority-tagged

        /interface bridge vlan
        add bridge=bridge1 tagged=ether1 vlan-ids=20
        add bridge=bridge1 tagged=ether1 vlan-ids=30
        add bridge=bridge1 tagged=ether1,bridge1 vlan-ids=99

        /interface vlan
        add interface=bridge1 vlan-id=99 name=MGMT

        /ip address
        add address=192.168.99.1/24 interface=MGMT

        /interface bridge
        set bridge1 vlan-filtering=yes
        

CRS1xx/CRS2xx серияларына арналған конфигурация

/interface bridge
        add name=bridge1

        /interface bridge port
        add bridge=bridge1 interface=ether1
        add bridge=bridge1 interface=ether2
        add bridge=bridge1 interface=ether3

        /interface ethernet switch ingress-vlan-translation
        add ports=ether2 customer-vid=0 new-customer-vid=20
        add ports=ether3 customer-vid=0 new-customer-vid=30

        /interface ethernet switch egress-vlan-tag
        add tagged-ports=ether1 vlan-id=20
        add tagged-ports=ether1 vlan-id=30
        add tagged-ports=ether1,switch1-cpu vlan-id=99

        /interface ethernet switch vlan
        add ports=ether1,ether2 vlan-id=20
        add ports=ether1,ether3 vlan-id=30
        add ports=ether1,switch1-cpu vlan-id=99

        /interface vlan
        add interface=bridge1 vlan-id=99 name=MGMT

        /ip address
        add address=192.168.99.1/24 interface=MGMT

        /interface ethernet switch
        set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=ether1,ether2,ether3
        

Switch чипі бар басқа құрылғыларда VLAN орнату

Көптеген MikroTik құрылғыларында орнатылған switch чипі бар. Егер құрылғы аппараттық VLAN кестесін қолдайтын болса, онда ол аппараттық деңгейде VLAN коммутатор ретінде жұмыс істей алады.

Конфигурация мысалы

/interface bridge
      add name=bridge1

      /interface bridge port
      add bridge=bridge1 interface=ether1
      add bridge=bridge1 interface=ether2
      add bridge=bridge1 interface=ether3

      /interface ethernet switch vlan
      add ports=ether1,ether2 switch=switch1 vlan-id=20
      add ports=ether1,ether3 switch=switch1 vlan-id=30
      add ports=ether1,switch1-cpu switch=switch1 vlan-id=99

      /interface vlan
      add interface=bridge1 vlan-id=99 name=MGMT

      /ip address
      add address=192.168.99.1/24 interface=MGMT

      /interface ethernet switch port
      set ether1 vlan-mode=secure vlan-header=add-if-missing
      set ether2 vlan-mode=secure vlan-header=always-strip default-vlan-id=20
      set ether3 vlan-mode=secure vlan-header=always-strip default-vlan-id=30
      set switch1-cpu vlan-header=leave-as-is vlan-mode=secure
      

Маңызды мәліметтер

• Барлық switch чиптері аппараттық VLAN сүзгілеуді (filtering) қолдай бермейді.
• Құрылғыңыздың мүмкіндігін /interface ethernet switch print пәрменімен тексеруге болады.
• QCA8337 және Atheros8327 чиптерімен vlan-header=leave-as-is әдепкі болып қалуы тиіс.
• default-vlan-id тек access немесе hybrid порттарда ғана қолданылуы керек.

Аппараттық шектеуді айналып өту жолдары

• Екі switch чипті кабель арқылы қосуға болады.
• Немесе Bridge VLAN Filtering қолдануға болады, бірақ ол аппараттық жылдамдықты өшіреді.

Switch чипі жоқ құрылғыларда VLAN орнату

Егер MikroTik құрылғысында орнатылған switch чипі болмаса, VLAN фильтрацияны CPU арқылы жасауға болады. Бұл жағдайда аппараттық жылдамдық болмайды, бірақ толық функционалдық VLAN қолжетімді болады.

VLAN фильтрацияны жасаудың бірнеше жолы бар, бірақ Bridge VLAN Filtering тәсілін қолдану ең тиімдісі болып табылады.

Конфигурация мысалы

/interface bridge
      add name=bridge1 frame-types=admit-only-vlan-tagged

      /interface bridge port
      add bridge=bridge1 interface=ether1 frame-types=admit-only-vlan-tagged
      add bridge=bridge1 interface=ether2 pvid=20 frame-types=admit-only-untagged-and-priority-tagged
      add bridge=bridge1 interface=ether3 pvid=30 frame-types=admit-only-untagged-and-priority-tagged

      /interface bridge vlan
      add bridge=bridge1 tagged=ether1 vlan-ids=20
      add bridge=bridge1 tagged=ether1 vlan-ids=30
      add bridge=bridge1 tagged=ether1,bridge1 vlan-ids=99

      /interface vlan
      add interface=bridge1 vlan-id=99 name=MGMT

      /ip address
      add address=192.168.99.1/24 interface=MGMT

      /interface bridge
      set bridge1 vlan-filtering=yes
      

Негізгі ұғымдар

• Trunk порты (ether1): Тек тегтелген (tagged) кадрларды қабылдайды.
• Access порттары (ether2, ether3): VLAN 20 және VLAN 30-ға арналған, тек тегтелмеген (untagged) трафикті қабылдайды.
• VLAN 99: Басқару (MGMT) үшін пайдаланылады.

Bridge VLAN кестесі (Bridge VLAN Table)

Жалпы шолу

Желіде VLAN-дарды сүзгілеу үшін bridge VLAN filtering мүмкіндігін пайдалануға болады. Бұл тәсіл – дұрыс емес VLAN конфигурацияларының орнына қолданылуы тиіс. Мұндай қателердің бірі — физикалық интерфейспен bridge ішінде VLAN қолдану. Бұл жиі кездесетін қателік байланыстың үзілуіне немесе өнімділіктің төмендеуіне әкеледі.

Bridge VLAN filtering ішіндегі ең маңызды бөлік — VLAN кестесі (bridge VLAN table). Ол әр порт үшін рұқсат етілген VLAN-дарды көрсетеді. Қарапайым Trunk және Access порттарымен жұмыс істеу оңай болса да, күрделі конфигурацияларда бұл процесс қиындық туғызуы мүмкін. Бұл бөлімде bridge VLAN filtering-тің мінез-құлқы мен түсініктері толық түсіндіріледі.

Теориялық негіздер

• Tagged/Untagged — /interface bridge vlan мәзірінде trunk порттар үшін tagged, ал access порттар үшін untagged порттар көрсетіледі. Tagged порттан шығатын пакеттерге VLAN тегі қойылады, ал untagged порттардан шыққанда тег алынып тасталады.
• VLAN ID — Белгілі бір порттар үшін рұқсат етілген VLAN ID көрсетіледі. Пакет VLAN кестеде көрсетілмеген ID-мен шығып жатса, ол пакет тасталады.
• PVID (Port VLAN ID) — Access порттар үшін кіріс трафикке автоматты түрде VLAN тегі қойылады. PVID қолданылған әр порт үшін кестеге динамикалық түрде untagged ретінде жазылады.
• Ingress Filtering — Әдетте, жарамсыз VLAN пакеттері egress кезінде (шығу кезінде) тасталады. Ingress filtering қосылса, олар кірген кезде-ақ тасталады.
• Басқару қолжетімділігі (Management access) — Bridge құрылғы аралық трафикті жай ғана жіберіп отырады. VLAN filtering арқылы тек белгілі бір VLAN ID-мен ғана құрылғыға қол жеткізуді шектеуге болады. Бұл қауіпсіздікті арттырады. Басқару қолжетімділігі әдетте CPU портымен байланысты.
• CPU порты — Switch чипі бар құрылғыларда CPU мен чип арасындағы байланыс үшін арнайы порт болады. Аппараттық VLAN фильтрация бар құрылғыларда бұл — bridge интерфейсінің өзі. Бұл порт VLAN-дар арасындағы маршрутизация, трафик белгілеп, кезек қолдану сияқты мақсаттар үшін де қолданылады.
• frame-type — Пакеттердің VLAN тегі бар/жоқ екенін тексеріп сүзгілеуге мүмкіндік береді. Бұл қосымша қауіпсіздік үшін пайдалы.
• EtherType — Әдепкіде, тек 0x8100 мәні бар C-TAG тексеріледі. Басқа VLAN тегтері тегтелмеген деп есептеледі. Бұл параметр VLAN фильтрациясына қолданылады.
• VLAN туннелдеу — Егер пакеттің EtherType мәні bridge-те көрсетілгенмен сәйкес болмаса, ол тегтелмеген ретінде қабылданады. Бұл трафикті ішкі VLAN-мен инкапсуляциялауға немесе бағытты өзгертуге мүмкіндік береді.
• Tag stacking — Пакетте VLAN тегі болса да, қосымша VLAN тегі қойылады. Бұл үшін tag-stacking=yes параметрі қосылады. Барлық кіріс пакеттерге PVID мәнімен қосымша тег қойылады.

Trunk/Access порттарын баптау

Төменде ең жиі кездесетін конфигурациялардың бірі — бір trunk порты және бірнеше access порттары бар схема көрсетілген (сурет орны).

Мұндай конфигурация өте кең таралған. Бұл бір ғана коммутатор мен қажет болса, бір ғана маршрутизаторды қолдана отырып желіні бірнеше сегментке бөлуге мүмкіндік береді. Мұндай құрылым компаниялар үшін өте тиімді, себебі олар әдетте әр бөлімшені бөлек оқшаулағысы келеді.

VLAN қолдана отырып, әр VLAN үшін әртүрлі DHCP серверін тағайындауға болады. Бұл әр VLAN үшін жеке IP мекенжайлар ауқымын беруге мүмкіндік береді. Нәтижесінде, Firewall ережелері мен QoS (Quality of Service) орнату жеңілдейді.

Access порттар

Мұндай конфигурацияда ether2 және ether3 порттарына қарапайым құрылғылар (мысалы, жұмыс компьютерлері) қосылады. Бұл құрылғылар трафикті тегтелмеген (untagged) түрде жібереді. Кейбір жағдайларда оларға VLAN тегі қосуға болады, бірақ бұл сирек кездеседі.

Жұмыс станцияларын бір-бірінен оқшаулау үшін, ether2 және ether3 порттарына келіп түсетін барлық трафикке VLAN тегі қойылуы тиіс. Қандай VLAN ID беру керектігін анықтау үшін Port-based VLAN тұжырымдамасы қолданылады.

Бұл тұжырымдамада әрбір порт өзіне тиесілі VLAN ID тағайындайды. Мысалы:

• ether2 портына қосылған құрылғыға — VLAN20
• ether3 портына қосылған құрылғыға — VLAN30

Яғни, құрылғы мен коммутатор арасындағы байланыс tag жоқ (untagged) трафик арқылы жүреді.

Trunk порттар

Trunk порттар — бірнеше VLAN трафигін бір порт арқылы өткізе алатын порттар. Бұл порттар әдетте басқа коммутатор немесе маршрутизатормен қосылады. Trunk порттар тек VLAN тегімен (tagged) жұмыс істейді.

Әр VLAN ID үшін trunk портын міндетті түрде “tagged” ретінде көрсету керек. Бір порт бір VLAN үшін tagged, ал екінші VLAN үшін untagged бола алады — бұл гибридті порт (Hybrid port) конфигурациясына жатады.

PVID қасиеті

PVID — портқа келген tag жоқ (untagged) трафикке автоматты түрде VLAN ID қосу үшін қолданылады. Бұл параметр әдетте Access порттарда қолданылады, бірақ Hybrid конфигурацияда Trunk порттарда да қолданылуы мүмкін.

Мысалы, егер ether2 портына PVID=20 орнатылса, онда оған келген untagged пакеттерге автоматты түрде VLAN20 тегі қосылады. Бірақ егер пакет VLAN40 тегімен келсе, онда тегі өзгермейді — оның маршруты bridge VLAN кестесіне байланысты болады.

Trunk/Access порттарын CLI арқылы баптау

1-қадам: Bridge интерфейсін жасау

/interface bridge
        add name=bridge1

2-қадам: Порттарды bridge-ке қосу және access порттарына PVID тағайындау

/interface bridge port
        add bridge=bridge1 interface=ether1
        add bridge=bridge1 interface=ether2 pvid=20
        add bridge=bridge1 interface=ether3 pvid=30

Ескерту: PVID VLAN filtering қосылғанға дейін әсер етпейді.

3-қадам: Bridge VLAN кестесін толтыру

/interface bridge vlan
        add bridge=bridge1 tagged=ether1 untagged=ether2 vlan-ids=20
        add bridge=bridge1 tagged=ether1 untagged=ether3 vlan-ids=30

Қате конфигурация мысалы – мұны ЖАСАМАҢЫЗ!

/interface bridge vlan
        add bridge=bridge1 tagged=ether1 untagged=ether2,ether3 vlan-ids=20,30

Қорытынды

Әрбір VLAN үшін нақты қай портқа рұқсат етілетінін көрсету өте маңызды. Access порттар әр VLAN үшін бөлек көрсетілуі тиіс, оларды топтастыруға немесе бірнеше VLAN ID қолдануға болмайды. Бұл VLAN трафигінің дұрыс бағытталуына және желі қауіпсіздігіне кепілдік береді.

CRS1xx/2xx сериялы коммутаторларға арналған мысалдар

Негізгі қолдану жағдайлары мен Cloud Router Switch (CRS) мүмкіндіктерін конфигурациялау мысалдары.

Портты коммутатор ретінде пайдалану (Port Switching)

CRS1xx/2xx сериялы құрылғыларда порттар арасындағы Layer 2 switching жасау үшін Bridge Hardware Offloading бетіне жүгіну қажет.

Бірнеше тәуелсіз (оқшауланған) коммутатор топтарын жасауға болады — бұл үшін бірнеше bridge құру және олардың әрқайсысына аппараттық жылдамдату (hardware offloading) қосу керек. Бұл мүмкіндік тек CRS1xx/2xx құрылғыларында ғана жұмыс істейді.

Басқаруға қолжетімділікті баптау (Management Access)

Жалпы алғанда, коммутаторлар тек деректерді коммутатор чипі арқылы бағыттауы керек, ал құрылғының өзіне (CPU-ға) қолжетімділікті шектеу қажет. Бұл қауіпсіздік мақсатында жасалады.

Құрылғыға management қолжетімділік алу үшін көбіне IP мекенжай арқылы қосылу қолайлы. Ол үшін төмендегі қадамдарды орындау қажет.

1. Порттарды бір bridge ішіне біріктіру

/interface bridge
          add name=bridge1

          /interface bridge port
          add bridge=bridge1 interface=ether2 hw=yes
          add bridge=bridge1 interface=ether3 hw=yes
          add bridge=bridge1 interface=ether4 hw=yes
          add bridge=bridge1 interface=ether5 hw=yes
            

2. bridge интерфейске IP мекенжай беру

/ip address
          add address=192.168.88.1/24 interface=bridge1
            

3. VLANсыз (Untagged) басқару

Мысалы, ether2 портынан құрылғыға VLAN 0 (немесе untagged) трафик арқылы қолжетімділік беру үшін:

/interface ethernet switch vlan
          add vlan-id=0 ports=ether2,switch1-cpu
            

4. VLAN тегімен (Tagged) басқару — ұсынылатын әдіс

Егер тек VLAN99 арқылы құрылғыға қолжетімділік бергіңіз келсе, келесілерді орындаңыз:

a) VLAN маршрутына CPU және қажетті портты қосу:

/interface ethernet switch vlan
          add ports=ether2,switch1-cpu vlan-id=99
            

b) CPU-дан шыққан пакеттерге VLAN тегін мәжбүрлеп қосу:

/interface ethernet switch egress-vlan-tag
          add tagged-ports=ether2,switch1-cpu vlan-id=99
            

c) Басқа VLAN-дардан трафикті бұғаттау (VLAN Filtering қосу):

/interface ethernet switch
          set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=ether2,ether3,ether4,ether5
            

5. VLAN интерфейсін және IP мекенжайын қосу

/interface vlan
          add interface=bridge1 name=MGMT vlan-id=99

          /ip address
          add address=192.168.99.1/24 interface=MGMT
            

VLAN

VLAN конфигурациялау алдында Serial Console кабелін алып, оны тексеріп алу ұсынылады, себебі сіз CPU-ға және/немесе сіз қосылған портқа қолжетімділікті жоғалтуыңыз мүмкін.

Кейбір өзгерістер бұрыннан үйренілген MAC мекенжайларына байланысты күшіне енуі біраз уақыт алуы мүмкін. Мұндай жағдайларда Unicast Forwarding Database-ті тазарту көмектеседі: /interface ethernet switch unicast-fdb flush

Бірнеше аппараттық жеделдетілген көпір конфигурациясы жылдам және қарапайым портты оқшаулау шешімі ретінде жасалған, бірақ ол CRS коммутатор чипі қолдайтын VLAN функционалдығының бір бөлігін шектейді. Кеңейтілген конфигурациялар үшін барлық порттар үшін CRS коммутатор чипі ішінде бір көпірді пайдаланыңыз, VLAN-дарды конфигурациялаңыз және порт топтарын портты оқшаулау профилінің конфигурациясымен оқшаулаңыз.

Портқа негізделген VLAN

CRS3xx сериялы құрылғылар үшін сіз міндетті түрде **көпір VLAN сүзуін** қолдануыңыз керек. Бұл туралы толығырақ «Көпір VLAN сүзу» бөлімінен оқи аласыз.

Мысал 1 (Магистральдық және қолжетімді порттар)

Қажетті порттарды біріктіріңіз:

/interface bridge
          add name=bridge1
          /interface bridge port
          add bridge=bridge1 interface=ether2 hw=yes
          add bridge=bridge1 interface=ether6 hw=yes
          add bridge=bridge1 interface=ether7 hw=yes
          add bridge=bridge1 interface=ether8 hw=yes

Әрбір қолжетімді порт үшін коммутатор тегсіз (VLAN0) трафикке орнатуы тиіс VLAN идентификаторын көрсетіңіз:

/interface ethernet switch ingress-vlan-translation
          add ports=ether6 customer-vid=0 new-customer-vid=200
          add ports=ether7 customer-vid=0 new-customer-vid=300
          add ports=ether8 customer-vid=0 new-customer-vid=400

Егер /interface ethernet switch ingress-vlan-translation бөлімінде жазба жасалса, онда коммутатор чипі көрсетілген портта кіріс фреймдеріне VLAN тегін қосады. Шығыс фреймдері үшін сол порттағы VLAN тегін жою үшін /interface ethernet switch egress-vlan-tag жазбасы сол VLAN ID үшін жасалуы керек, онда тек тегтелген порттар көрсетіледі. Егер нақты VLAN тек қолжетімді порттар арасында жіберілсе, /interface ethernet switch egress-vlan-tag жазбасы тегтелген порттарсыз жасалуы керек. Тағы бір нұсқа - тегсіз (VLAN0) трафикті орнату үшін /interface ethernet switch egress-vlan-translation мәзіріне қосымша жазбалар жасау.

Сондай-ақ, қай VLAN-дар VLAN тегімен магистральдық портқа жіберілуі керектігін көрсетуіңіз керек. Магистральдық портты орнату үшін ** tagged-ports** сипатын пайдаланыңыз:

/interface ethernet switch egress-vlan-tag
          add tagged-ports=ether2 vlan-id=200
          add tagged-ports=ether2 vlan-id=300
          add tagged-ports=ether2 vlan-id=400

Әрбір порт пен әрбір VLAN ID үшін VLAN мүшеліктерін көрсету үшін VLAN кестесіне жазбалар қосыңыз:

/interface ethernet switch vlan
          add ports=ether2,ether6 vlan-id=200
          add ports=ether2,ether7 vlan-id=300
          add ports=ether2,ether8 vlan-id=400

Жарамды VLAN конфигурациясы орнатылғаннан кейін, белгісіз/жарамсыз VLAN сүзуін қосуға болады:

/interface ethernet switch
          set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=ether2,ether6,ether7,ether8

Құрылғы бір уақытта коммутатор және маршрутизатор ретінде әрекет ететін коммутатор-маршрутизатор орнатуын жасау үшін кіріктірілген коммутатор чипін және CPU-ды бір уақытта пайдалануға болады. Конфигурация мысалын «CRS-Router» нұсқаулығынан таба аласыз.

Мысал 2 (Магистральдық және гибридті порттар)

Қажетті порттарды біріктіріңіз:

/interface bridge
          add name=bridge1
          /interface bridge port
          add bridge=bridge1 interface=ether2 hw=yes
          add bridge=bridge1 interface=ether6 hw=yes
          add bridge=bridge1 interface=ether7 hw=yes
          add bridge=bridge1 interface=ether8 hw=yes

Әрбір қолжетімді порт үшін коммутатор тегсіз (VLAN0) трафикке орнатуы тиіс VLAN идентификаторын көрсетіңіз:

/interface ethernet switch ingress-vlan-translation
          add ports=ether6 customer-vid=0 new-customer-vid=200
          add ports=ether7 customer-vid=0 new-customer-vid=300
          add ports=ether8 customer-vid=0 new-customer-vid=400

Порттарды tagged-ports ретінде көрсету арқылы коммутатор пакеттерді әрқашан сәйкес VLAN ID-мен тегтелген пакеттер ретінде жібереді. Жоғарыдағы диаграммаға сәйкес тиісті жазбаларды қосыңыз:

/interface ethernet switch egress-vlan-tag
          add tagged-ports=ether2,ether7,ether8 vlan-id=200
          add tagged-ports=ether2,ether6,ether8 vlan-id=300
          add tagged-ports=ether2,ether6,ether7 vlan-id=400

Әрбір порт пен әрбір VLAN ID үшін VLAN мүшеліктерін көрсету үшін VLAN кестесіне жазбалар қосыңыз:

/interface ethernet switch vlan
          add ports=ether2,ether6,ether7,ether8 vlan-id=200 learn=yes
          add ports=ether2,ether6,ether7,ether8 vlan-id=300 learn=yes
          add ports=ether2,ether6,ether7,ether8 vlan-id=400 learn=yes

Жарамды VLAN конфигурациясы орнатылғаннан кейін, белгісіз/жарамсыз VLAN сүзуін қосуға болады:

/interface ethernet switch
          set drop-if-invalid-or-src-port-not-member-of-vlan-on-ports=ether2,ether6,ether7,ether8

Протоколға негізделген VLAN

Қажетті порттарды біріктіріңіз:

/interface bridge
          add name=bridge1
          /interface bridge port
          add bridge=bridge1 interface=ether2 hw=yes
          add bridge=bridge1 interface=ether6 hw=yes
          add bridge=bridge1 interface=ether7 hw=yes
          add bridge=bridge1 interface=ether8 hw=yes

IP және ARP протоколдары үшін VLAN орнатыңыз:

/interface ethernet switch protocol-based-vlan
          add port=ether2 protocol=arp set-customer-vid-for=all new-customer-vid=0
          add port=ether6 protocol=arp set-customer-vid-for=all new-customer-vid=200
          add port=ether2 protocol=ip set-customer-vid-for=all new-customer-vid=0
          add port=ether6 protocol=ip set-customer-vid-for=all new-customer-vid=200

IPX протоколы үшін VLAN орнатыңыз:

/interface ethernet switch protocol-based-vlan
          add port=ether2 protocol=ipx set-customer-vid-for=all new-customer-vid=0
          add port=ether7 protocol=ipx set-customer-vid-for=all new-customer-vid=300

AppleTalk AARP және AppleTalk DDP протоколдары үшін VLAN орнатыңыз:

/interface ethernet switch protocol-based-vlan
          add port=ether2 protocol=0x80F3 set-customer-vid-for=all new-customer-vid=0
          add port=ether8 protocol=0x80F3 set-customer-vid-for=all new-customer-vid=400
          add port=ether2 protocol=0x809B set-customer-vid-for=all new-customer-vid=0
          add port=ether8 protocol=0x809B set-customer-vid-for=all new-customer-vid=400

InterVLAN маршруттау

InterVLAN маршруттау конфигурациясы екі негізгі бөліктен тұрады – коммутатор чипіндегі VLAN тегтеуі және RouterOS-тағы маршруттау. Бұл конфигурацияны DHCP серверімен, Hotspot-пен, PPP-мен және әрбір VLAN үшін басқа да функциялармен біріктіру арқылы көптеген қолданбаларда қолдануға болады.

Қажетті порттарды біріктіріңіз:

/interface bridge
          add name=bridge1
          /interface bridge port
          add bridge=bridge1 interface=ether6 hw=yes
          add bridge=bridge1 interface=ether7 hw=yes
          add bridge=bridge1 interface=ether8 hw=yes

Пакеттер маршруттау алдында тегтелген болуы үшін барлық VLAN-дар үшін CPU портында VLAN тегтеуін орнатыңыз:

/interface ethernet switch egress-vlan-tag
          add tagged-ports=switch1-cpu vlan-id=200
          add tagged-ports=switch1-cpu vlan-id=300
          add tagged-ports=switch1-cpu vlan-id=400

Қолжетімді порттарда дұрыс VLAN ID тағайындауды қамтамасыз ету үшін кіріс VLAN аудару ережелерін қосыңыз:

/interface ethernet switch ingress-vlan-translation
          add ports=ether6 customer-vid=0 new-customer-vid=200
          add ports=ether7 customer-vid=0 new-customer-vid=300
          add ports=ether8 customer-vid=0 new-customer-vid=400

Көпір интерфейсінің үстіне VLAN интерфейстерін жасаңыз:

/interface vlan
          add name=VLAN200 interface=bridge1 vlan-id=200
          add name=VLAN300 interface=bridge1 vlan-id=300
          add name=VLAN400 interface=bridge1 vlan-id=400

VLAN интерфейстері физикалық интерфейстердің ешқайсысының орнына көпір интерфейсінің үстінде жасалғанына көз жеткізіңіз. Егер VLAN интерфейстері құл интерфейсінде жасалса, онда пакет дұрыс қабылданбауы мүмкін, сондықтан маршруттау сәтсіз болуы мүмкін. Толығырақ ақпаратты «Құл интерфейсіндегі VLAN интерфейсі» нұсқаулық бетінен табуға болады.

Жасалған VLAN интерфейстеріне IP мекенжайларын қосыңыз. Бұл мысалда VLAN200, VLAN300 және VLAN400 интерфейстеріне үш 192.168.x.1 мекенжайы қосылған:

/ip address
          add address=192.168.20.1/24 interface=VLAN200
          add address=192.168.30.1/24 interface=VLAN300
          add address=192.168.40.1/24 interface=VLAN400

Транкинг (Trunking)

Cloud Router Switches-тегі транкинг аппараттық автоматты істен шығудан қорғау және жүктемені теңестіру арқылы статикалық сілтеме агрегация топтарын қамтамасыз етеді. IEEE802.3ad және IEEE802.1ax үйлесімді Link Aggregation Control Protocol әлі қолдау көрсетілмейді. Әрбір транк тобына 8-ге дейін транк тобы және 8-ге дейін транк мүше порттары қолдау көрсетіледі.

Конфигурация коммутацияланған порттар тобын және транк кестесіндегі жазбаны талап етеді:

/interface bridge
        add name=bridge1 protocol-mode=none
        /interface bridge port
        add bridge=bridge1 interface=ether2 hw=yes
        add bridge=bridge1 interface=ether6 hw=yes
        add bridge=bridge1 interface=ether7 hw=yes
        add bridge=bridge1 interface=ether8 hw=yes

        /interface ethernet switch trunk
        add name=trunk1 member-ports=ether6,ether7,ether8

Бұл мысал сонымен қатар RouterOS-тағы басқа жағындағы дұрыс байланыс конфигурациясын көрсетеді:

/interface bonding
        add name=bonding1 slaves=ether2,ether3,ether4 mode=balance-xor transmit-hash-policy=layer-2-and-3

Транкинг және портқа негізделген VLAN-дар үшін жұмыс істейтін мысалды «CRS VLANs with Trunks» бетінен таба аласыз.

Көпір (R)STP негізгі коммутатор транкинг конфигурациясын білмейді және кейбір транк порттары тастау немесе бұғаттау күйіне өтуі мүмкін. Транкинг мүше порттары басқа көпірлерге қосылған кезде, сіз (R)STP-ны өшіруіңіз немесе транктелген құрылғылар арасындағы кез келген BPDU-ны сүзуіңіз керек (мысалы, ACL ережелерімен).

Қосылымды бақылауға кіріспе (Connection Tracking)

Қосылымды бақылау ядроға барлық логикалық желілік қосылымдарды немесе сессияларды бақылауға мүмкіндік береді, осылайша осы қосылымды құрайтын барлық пакеттерді байланыстырады.

NAT осы ақпаратқа сүйеніп, барлық байланысты пакеттерді бірдей аударады.

Қосылымды бақылаудың арқасында сіз UDP сияқты күйсіз протоколдармен де күйлі брандмауэр функциясын қолдана аласыз.

Қосылымды бақылауға әсер ететін брандмауэр функциялары:

• NAT
• firewall:connection-bytes
• connection-mark
• connection-type
• connection-state
• connection-limit
• connection-rate
• layer7-protocol
• new-connection-mark
• tarpit

Бақыланатын қосылымдар тізімін IPv4 үшін /ip firewall connection және IPv6 үшін /ipv6 firewall connection бөлімдерінен көруге болады.

          [admin@3C22-atombumba] /ip firewall connection> print
          Flags: S - seen-reply, A - assured
          #    PR.. SRC-ADDRESS           DST-ADDRESS           TCP-STATE   TIMEOUT
          0    udp  10.5.8.176:5678       255.255.255.255:5678              0s
          1    udp  10.5.101.3:646        224.0.0.2:646                     5s
          2    ospf 10.5.101.161          224.0.0.5                         9m58s
          3    udp  10.5.8.140:5678       255.255.255.255:5678              8s
          4 SA tcp  10.5.101.147:48984    10.5.101.1:8291       established 4m59s

          [admin@3C22-atombumba] /ipv6 firewall connection> print
          Flags: S - seen reply, A - assured
          #    PRO.. SRC-ADDRESS                 DST-ADDRESS                 TCP-STATE
          0    udp   fe80::d6ca:6dff:fe77:3698   ff02::1
          1    udp   fe80::d6ca:6dff:fe98:7c28   ff02::1
          2    ospf  fe80::d6ca:6dff:fe73:9822   ff02::5

Қосылым күйлері

Қосылым кестесінің жазбаларына негізделген пакеттерге жаңа (new), жарамсыз (invalid), орнатылған (established), байланысты (related) немесе бақыланбайтын (untracked) қосылым күйлерінің бірі тағайындалуы мүмкін.

Пакеттің жаңа (new) болып саналуының екі түрлі әдісі бар. Біріншісі, қосылым кестесінде қосылым жазбасы жоқ күйсіз қосылымдар (UDP сияқты) үшін. Екіншісі, күйлі протокол (TCP) жағдайында. Бұл жағдайда жаңа қосылымды бастайтын жаңа пакет әрқашан SYN жалаушасы бар TCP пакеті болып табылады.

Егер пакет жаңа болмаса, ол орнатылған (established) немесе байланысты (related) қосылымға жатуы мүмкін немесе ешқандай қосылымға жатпауы мүмкін, бұл оны жарамсыз (invalid) етеді. Көпшілігіңіз болжағандай, орнатылған (established) күйдегі пакет қосылымды бақылау кестесіндегі бар қосылымға жатады. Байланысты (related) күйі өте ұқсас, бірақ пакет бар қосылымдардың біріне қатысты қосылымға жатады, мысалы, ICMP қате пакеттері немесе FTP деректер қосылымының пакеттері.

Бақыланбайтын (notrack) қосылым күйі - бұл RAW брандмауэр ережелері қосылымды бақылаудан қосылымды алып тастау үшін қолданылатын ерекше жағдай. Бұл ереже барлық бағытталған трафикті қосылымды бақылауды айналып өтуге мәжбүр етеді, бұл құрылғы арқылы пакеттерді өңдеу жылдамдығын арттырады.

Кез келген басқа пакет жарамсыз (invalid) болып саналады және көп жағдайда тасталуы керек.

Осы ақпаратқа сүйене отырып, біз пакеттерді сүзуді жеделдету және CPU-ға түсетін жүктемені азайту үшін негізгі сүзгі ережелерін орната аламыз: орнатылған (established)/байланысты (related) пакеттерді қабылдау, жарамсыз (invalid) пакеттерді тастау және тек жаңа (new) пакеттер үшін толығырақ сүзумен жұмыс істеу арқылы.

          ip firewall filter
          add chain=input connection-state=invalid action=drop comment="Жарамсыз қосылымдарды тастау"
          add chain=input connection-state=established,related,untracked action=accept
          comment="Орнатылған/Байланысты/Бақыланбайтын қосылымдарға рұқсат беру"

Мұндай ережелер жинағын асимметриялық маршруттаумен жұмыс істейтін маршрутизаторларға қолдануға болмайды, себебі асимметриялық бағытталған пакеттер жарамсыз болып саналуы және тасталуы мүмкін.

FastTrack

IPv4 FastTrack – бұл Linux мүмкіндіктерін айналып өтіп, пакеттерді жылдамырақ бағыттауға мүмкіндік беретін арнайы өңдегіш. Бұл өңдегіш "fasttrack-connection" әрекетімен белгіленген TCP және UDP қосылымдары үшін қолданылады. IPv4 FastTrack өңдегіші NAT-ты (SNAT, DNAT немесе екеуін де) қолдайды.

Қосылымның барлық пакеттері FastTrack-пен өңделмейтінін ескеріңіз, сондықтан қосылым FastTrack үшін белгіленсе де, кейбір пакеттердің баяу жолмен өтуі мүмкін. Сондықтан fasttrack-connection әдетте бірдей "action=accept" ережесімен жалғасады.

FastTrack-пен өңделген пакеттер мыналарды айналып өтеді:

• брандмауэр,
• қосылымды бақылау,
• қарапайым кезектер,
• parent=global бар кезек ағашы,
• IP есепке алу,
• IPSec,
• hotspot әмбебап клиенті,
• VRF тағайындау

FastTrack басқа конфигурацияларға кедергі келтірмейтініне көз жеткізу әкімшінің міндеті.

Талаптар

IPv4 FastTrack келесі шарттар орындалған жағдайда белсенді болады:

• mesh, metarouter интерфейс конфигурациясы жоқ;
• sniffer, torch немесе traffic generator жұмыс істемейді;
• /tool mac-scan белсенді қолданылмайды;
• /tool ip-scan белсенді қолданылмайды;
• FastPath және Route кэші IP/Settings бөлімінде қосулы.

Мысал

Мысалы, зауыттық әдепкі конфигурациясы бар SOHO маршрутизаторлары үшін брандмауэр сүзгісінің жоғарғы жағына орналастырылған осы бір ережемен барлық LAN трафигін FastTrack-пен өңдеуге болады. Бірдей конфигурацияны қабылдау ережесі қажет:

/ip firewall filter add chain=forward action=fasttrack-connection connection-state=established,related
          /ip firewall filter add chain=forward action=accept connection-state=established,related

Қосылым жабылғанша, уақыты біткенше немесе маршрутизатор қайта жүктелгенше FastTrack-пен өңделеді.

Жалған ережелер FastTrack брандмауэр ережелері жойылғаннан/өшірілгеннен және маршрутизатор қайта жүктелгеннен кейін ғана жоғалады.

FastPath және FastTrack екеуі де құрылғыда қосулы болса да, бір уақытта тек біреуі ғана белсенді бола алады.

Кезектер (интерфейстерге бағытталған кезек ағаштарынан басқа), брандмауэр сүзгісі және mangle ережелері FastTrack-пен өңделген трафик үшін қолданылмайды.

Қосылымды бақылау параметрлері

Қосылымды бақылау параметрлері /ip firewall connection tracking мәзірінен басқарылады.

Брандмауэр

Брандмауэр күйлі (қосылымды бақылауды пайдалану арқылы) және күйсіз пакеттерді сүзуді іске асырады, осылайша маршрутизаторға, одан және оның арқылы деректер ағынын басқару үшін қолданылатын қауіпсіздік функцияларын қамтамасыз етеді. Желілік мекенжайды аударумен (NAT) бірге ол тікелей қосылған желілерге және маршрутизатордың өзіне рұқсатсыз кіруді болдырмау, сондай-ақ шығыс трафигін сүзу құралы ретінде қызмет етеді.

Желілік брандмауэрлар желі ішіндегі құпия деректерден сыртқы қауіптерді алыс ұстайды. Әртүрлі желілер біріктірілген кезде, сіздің желіңізден тыс біреудің LAN-ға кіру қаупі әрқашан болады. Мұндай бұзулар жеке деректердің ұрлануына және таралуына, құнды деректердің өзгеруіне немесе жойылуына, немесе бүкіл қатты дискілердің өшірілуіне әкелуі мүмкін. Брандмауэрлар басқа желілерге қосылуға тән қауіпсіздік тәуекелдерін болдырмау немесе азайту құралы ретінде қолданылады. Дұрыс конфигурацияланған брандмауэр тиімді және қауіпсіз желілік инфрақұрылымды орналастыруда маңызды рөл атқарады.

MikroTik RouterOS өте қуатты брандмауэр іске асыруына ие, оның мүмкіндіктеріне мыналар кіреді:

• күйсіз пакеттерді тексеру
• күйлі пакеттерді тексеру
• 7-қабат протоколын анықтау
• peer-to-peer протоколдарды сүзу
• трафикті жіктеу:
  • бастапқы MAC мекенжайы бойынша
  • IP мекенжайлары (желі немесе тізім) және мекенжай түрлері (хабар тарату, жергілікті, көп тарату, біртұтас тарату / broadcast, local, multicast, unicast)
  • порт немесе порт диапазоны
  • IP протоколдары
  • протокол опциялары (ICMP түрі мен код өрістері, TCP жалаушалары, IP опциялары және MSS)
  • пакет келген немесе өткен интерфейс
  • ішкі ағын және қосылым белгілері (internal flow and connection marks )
  • DSCP байты
  • пакет мазмұны (packet content)
  • пакеттердің келу жылдамдығы және реттік нөмірлері
  • пакет өлшемі
  • пакеттің келу уақыты
  • және тағы басқалар!

Брандмауэр үш негізгі модульге бөлінген:

• filter/raw - конфигурацияланған саясаттарға негізделген трафикті жою үшін қолданылады. RAW кестелеріндегі сүзу қосылымды бақылау қажет болмаса, ресурстарды үнемдеуге мүмкіндік береді.
• mangle - белгілі бір қосылымдарды, пакеттерді, ағындарды белгілеу, басымдықтарды орнату және басқа тапсырмаларды орындау үшін қолданылады.
• nat - мекенжайды аудару ережелерін, қайта бағыттауды және портты бағыттауды орнату үшін қолданылады.

Тізбектер (Chains)

Брандмауэрдің сүзу ережелері тізбектерге топтастырылған. Бұл пакетті бір тізбекте бір жалпы критерийге сәйкестендіруге, содан кейін басқа жалпы критерийлерге сәйкес өңдеу үшін басқа тізбекке беруге мүмкіндік береді.

Ережелерді жеңілдету үшін "mychain" тізбегін қолдану

Кей жағдайда сіз белгілі бір IP мекенжай мен порт жұбына сәйкес келетін трафикке ереже жасауыңыз қажет. Мысалы, белгілі бір IP мекенжайдан келетін және нақты порттарға бағытталған трафикті ғана рұқсат ету.

Әрине, сіз forward тізбегіне бірнеше ереже қосып, әр IP:порт комбинациясына жеке ереже жаза аласыз. Бірақ бұл тәсіл күрделеніп кетеді және басқаруға қиын болады.

Одан да жақсы тәсіл — IP мекенжайы бойынша бір ғана ереже жасап, қосымша порттық сәйкестіктерді бөлек тізбекке (мысалы, mychain) шығару.

Мысал конфигурация

/ip firewall filter add chain=mychain protocol=tcp dst-port=22 action=accept
        add chain=mychain protocol=tcp dst-port=23 action=accept

        add chain=input src-address=1.1.1.2/32 jump-target="mychain"

Бұл мысалда 1.1.1.2 IP мекенжайынан келген барлық трафик mychain тізбегіне бағытталады. Ал mychain ішінде тек 22 және 23 порттарына рұқсат етілген. Осылайша, сіз бір IP-ге бір ғана ереже жасап, порттық сүзгілерді жеке тізбек арқылы реттей аласыз.

Тізбекті өңдеу кезінде ережелер тізбектен тізімде көрсетілген ретпен, жоғарыдан төменге қарай алынады. Егер пакет ереженің критерийлеріне сәйкес келсе, онда көрсетілген әрекет оған орындалады, және сол тізбекте басқа ережелер өңделмейді (ерекшелік - passthrough әрекеті).

Егер пакет тізбек ішіндегі ешбір ережеге сәйкес келмесе, онда ол қабылданады.

Әрбір брандмауэр модулінің өзінің алдын ала анықталған тізбектері бар:

• raw:
  • prerouting
  • output
• filter:
  • input
  • forward
  • output
• mangle:
  • prerouting
  • input
  • forward
  • output
  • postrouting
• nat:
  • srcnat
  • dstnat

RouterOS-тағы пакеттерді өңдеу туралы толығырақ «RouterOS-тағы пакеттер ағыны» диаграммасында сипатталған.

Сүзгі (Filter)

Кіріспе

Брандмауэр сүзгілері жергілікті желіге бағытталған, маршрутизаторыңыздан шыққан немесе маршрутизаторға арналған нақты пакеттерді рұқсат ету немесе бұғаттау үшін қолданылады.

Сүзуді орнатудың екі әдісі бар:

1. Нақты трафикке рұқсат беру және басқасының бәрін тастау.
2. Тек зиянды трафикті тастау, басқасының бәріне рұқсат етіледі.

Екі әдістің де артықшылықтары мен кемшіліктері бар, мысалы, қауіпсіздік тұрғысынан бірінші әдіс әлдеқайда қауіпсіз, бірақ жаңа қызмет үшін трафикті қабылдау қажет болғанда әкімшінің араласуын талап етеді. Бұл стратегия трафикті жақсы бақылауды қамтамасыз етеді және қызметтің дұрыс конфигурацияланбауына байланысты желі қауіп-қатер мүмкіндігін азайтады.

Екінші жағынан, тұтынушы желісін қорғау кезінде пайдаланушылар қолдануы мүмкін барлық ықтимал қызметтерді қадағалап, оларға жеке-жеке ереже жазып отыру әкімшілік тұрғыдан өте қиын болар еді.

Сондықтан, брандмауэрді мұқият жоспарлау ірі-үлкен орнатуларда маңызды рөл атқарады.

Брандмауэр сүзгісі жоюға болмайтын үш алдын ала анықталған тізбектен тұрады:

• input - маршрутизаторға интерфейстердің бірі арқылы кіретін және маршрутизатордың мекенжайларының бірі болып табылатын бағытталған IP мекенжайы бар пакеттерді өңдеу үшін қолданылады. Маршрутизатор арқылы өтетін пакеттер input тізбегінің ережелеріне сәйкес өңделмейді.
• forward - маршрутизатор арқылы өтетін пакеттерді өңдеу үшін қолданылады.
• output - маршрутизатордан шыққан және интерфейстердің бірі арқылы шығатын пакеттерді өңдеу үшін қолданылады. Маршрутизатор арқылы өтетін пакеттер output тізбегінің ережелеріне сәйкес өңделмейді.

Брандмауэр сүзгісінің конфигурациясы IPv4 үшін ip/firewall/filter мәзірінен және IPv6 үшін ipv6/firewall/filter мәзірінен қолжетімді.

Брандмауэр мысалы

IPv4 протоколы үшін маршрутизатордың өзін және маршрутизатордың артындағы клиенттерді қорғауға арналған негізгі брандмауэр мысалын қарастырайық.

IPv4 брандмауэрі

Маршрутизатордың өзін қорғау

Брандмауэрді орнату үшін келесі ережелер қолданылады:

• Маршрутизаторға түсетін жүктемені азайту үшін жаңа (new) қосылымдармен жұмыс істеңіз;
• Қажеттіні қабылдаңыз;
• Басқасының бәрін тастаңыз (drop), кейбір шабуылдаушыларды тіркеу үшін log=yes орнатуға болады, бірақ бұл қатты шабуылдар кезінде CPU-ға қосымша жүктеме қосуы мүмкін екенін ескеріңіз.

Біз әрқашан бұрыннан белгілі және қабылданған қосылымдарды қабылдаудан бастаймыз, сондықтан бірінші ереже "established" және "related" қосылымдарды қабылдау болуы керек.

        /ip firewall filter
        add action=accept chain=input comment="default configuration" connection-state=established,related

Енді біз кейбір жаңа қосылымдарды қабылдауға кірісе аламыз, біздің мысалда біз кез келген мекенжайдан ICMP протоколына және басқасының бәріне тек 192.168.88.2-192.168.88.254 мекенжай диапазонынан рұқсат бергіміз келеді. Ол үшін біз мекенжай тізімін және екі брандмауэр ережесін жасаймыз.

        /ip firewall address-list
        add address=192.168.88.2-192.168.88.254 list=allowed_to_router

        /ip firewall filter
        add action=accept chain=input src-address-list=allowed_to_router
        add action=accept chain=input protocol=icmp

Соңында, біз басқасының бәрін тастаймыз:

 add action=drop chain=input

Жаңадан жасалған ережелердің толық жиынтығы:

        /ip firewall filter
        add action=accept chain=input comment="default configuration" connection-state=established,related
        add action=accept chain=input src-address-list=allowed_to_router
        add action=accept chain=input protocol=icmp
        add action=drop chain=input

        /ip firewall address-list
        add address=192.168.88.2-192.168.88.254 list=allowed_to_router

LAN құрылғыларын қорғау

Пайдаланушыларды қорғау тұжырымдамасы өте ұқсас, бірақ бұл жағдайда біз қажетсіз трафикті бұғаттап, басқасының бәрін қабылдаймыз.

Алдымен біз брандмауэр сүзгі ережелері үшін қолданатын "not_in_internet" атауымен address-list жасаймыз:

        /ip firewall address-list
        add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet
        add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet
        add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet
        add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet
        add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet
        add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet
        add address=224.0.0.0/4 comment=Multicast list=not_in_internet
        add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet
        add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet
        add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet
        add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet
        add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet
        add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet
        add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet
        add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet

Брандмауэр сүзгі ережесінің қысқаша түсіндірмесі:

• connection-state=established,related бар пакеттер деректерді жылдамырақ өткізу үшін FastTrack-қа қосылады, брандмауэр тек жаңа қосылымдармен жұмыс істейді;
• жарамсыз (invalid) қосылымды тастау және оларды "invalid" префиксімен тіркеу;
• жергілікті желіңізден жалпыға қолжетімді емес мекенжайларға жету әрекеттерін тастау, алдымен address-list=not_in_internet қолдану, "bridge" - жергілікті желі интерфейсі, "public_from_LAN!" префиксімен әрекеттерді тіркеу;
• NAT-талмаған кіріс пакеттерді тастау, ether1 - жалпыға қолжетімді интерфейс, "!NAT" префиксімен әрекеттерді тіркеу;
• қажетсіз ICMP хабарламаларын тастау үшін ICMP тізбегіне өту;
• Интернеттен келетін, жалпыға қолжетімді IP мекенжайлары емес, кіріс пакеттерді тастау, ether1 - жалпыға қолжетімді интерфейс, "!public" префиксімен әрекеттерді тіркеу;
• LAN IP мекенжайы жоқ LAN пакеттерін тастау, 192.168.88.0/24 - жергілікті желі қолданылатын ішкі желі;

        /ip firewall filter
        add action=fasttrack-connection chain=forward comment=FastTrack connection-state=established,related
        add action=accept chain=forward comment="Established, Related" connection-state=established,related
        add action=drop chain=forward comment="Drop invalid" connection-state=invalid log=yes log-prefix=invalid
        add action=drop chain=forward 
        comment="Drop tries to reach not public addresses from LAN" dst-address-list=not_in_internet 
        in-interface=bridge log=yes log-prefix=!public_from_LAN out-interface=!bridge
        add action=drop chain=forward comment="Drop incoming packets that are not NAT`ted"
        connection-nat-state=!dstnat connection-state=new 
        in-interface=ether1 log=yes log-prefix=!NAT
        add action=jump chain=forward protocol=icmp jump-target=icmp comment="jump to ICMP filters"
        add action=drop chain=forward comment="Drop incoming from internet which is not public IP" 
        in-interface=ether1 log=yes log-prefix=!public src-address-list=not_in_internet
        add action=drop chain=forward comment="Drop packets from LAN that do not have LAN IP"
        in-interface=bridge log=yes log-prefix=LAN_!LAN src-address=!192.168.88.0/24

"icmp" тізбегінде тек қажетті ICMP кодтарына рұқсат беру:

          /ip firewall filter
          add chain=icmp protocol=icmp icmp-options=0:0 action=accept \
            comment="echo reply"
          add chain=icmp protocol=icmp icmp-options=3:0 action=accept \
            comment="net unreachable"
          add chain=icmp protocol=icmp icmp-options=3:1 action=accept \
            comment="host unreachable"
          add chain=icmp protocol=icmp icmp-options=3:4 action=accept \
            comment="host unreachable fragmentation required"
          add chain=icmp protocol=icmp icmp-options=8:0 action=accept \
            comment="allow echo request"
          add chain=icmp protocol=icmp icmp-options=11:0 action=accept \
            comment="allow time exceed"
          add chain=icmp protocol=icmp icmp-options=12:0 action=accept \
            comment="allow parameter bad"
          add chain=icmp action=drop comment="deny all other types"

Әрекеттер (Actions)

Төмендегі кестелер сүзгіге тән әрекеттер тізімін және олармен байланысты сипаттарды көрсетеді. Басқа әрекеттер мұнда тізімделген.

RAW сүзу (RAW Filtering)

Брандмауэрдің RAW кестесі қосылымды бақылауға дейін пакеттерді іріктеп айналып өтуге немесе тастауға мүмкіндік береді, осылайша CPU-ға түсетін жүктемені айтарлықтай азайтады. Бұл құрал DoS/DDoS шабуылдарын азайту үшін өте пайдалы.

RAW сүзгісінің конфигурациясы IPv4 үшін ip/firewall/raw мәзірінен және IPv6 үшін ipv6/firewall/raw мәзірінен қолжетімді.

• RAW кестесінде қосылымды бақылауға тәуелді сәйкестендіргіштер (мысалы, connection-state, layer7 және т.б.) жоқ.
• Егер пакет қосылымды бақылауды айналып өтуге белгіленсе, пакеттің дефрагментациясы орындалмайды.

Сондай-ақ, RAW брандмауэрінде тек екі тізбекте (chains) ережелер болуы мүмкін:

• prerouting - маршрутизаторға кіретін кез келген пакетті өңдеу үшін қолданылады.
• output - маршрутизатордан шыққан және одан интерфейстердің бірі арқылы шығатын пакеттерді өңдеу үшін қолданылады. Маршрутизатор арқылы өтетін пакеттер output тізбегінің ережелеріне сәйкес өңделмейді.

Және бір ерекше әрекеті (action) бар:

Негізгі RAW мысалы

Бізде OSPF конфигурациясы бар деп есептейік, бірақ қосылымды бақылауға байланысты OSPF-те көршілік мәселелері туындайды. Мұны OSPF пакеттерін қосылымды бақылауға жібермеу арқылы RAW ережелерін қолданып шешуге болады.

/ip firewall raw
        add chain=prerouting protocol=ospf action=notrack
        add chain=output protocol=ospf action=notrack

Қосымша қарастырыңыз

• Кеңейтілген брандмауэр құру (Building advanced firewall)
• Қосылым жылдамдығы (Connection Rate)
• SSH bruteforce қорғанысы (SSH bruteforce protection)
• Syn/DoS қорғанысы (Syn/DoS protection)

Маркер (mangle [ˈmaNGɡəl])

Шолу

Mangle - бұл пакеттерді арнайы белгілермен болашақ өңдеу үшін белгілейтін 'маркер' түрі. RouterOS-тағы басқа көптеген мүмкіндіктер, мысалы, кезек ағаштары (queue trees), NAT, маршруттау осы белгілерді пайдаланады. Олар пакетті оның белгісі бойынша анықтайды және оны соған сәйкес өңдейді. Mangle белгілері тек маршрутизатор ішінде ғана болады, олар желі арқылы берілмейді.

Сонымен қатар, mangle мүмкіндігі IP тақырыбындағы кейбір өрістерді, мысалы, TOS (DSCP) және TTL өрістерін өзгерту үшін қолданылады.

Брандмауэр mangle ережелері жоюға болмайтын бес алдын ала анықталған тізбектерден тұрады:

• PREROUTING тізбегі: Бұл тізбектегі ережелер пакеттер желілік интерфейске енді ғана келген кезде қолданылады;
• INPUT тізбегі: Бұл тізбектегі ережелер пакеттер жергілікті процесске берілмес бұрын қолданылады;
• OUTPUT тізбегі: Бұл жердегі ережелер пакеттер процесс арқылы жасалғаннан кейін қолданылады;
• FORWARD тізбегі: Бұл жердегі ережелер ағымдағы хост арқылы маршруттаушы кез келген пакеттерге қолданылады;
• POSTROUTING тізбегі: Бұл тізбектегі ережелер пакеттер желілік интерфейстен енді ғана шыққан кезде қолданылады;

NAT

Masquerade әрекеті (NAT - Жасырындыру)

Masquerade — бұл srcnat әрекетінің арнайы нұсқасы, ол динамикалық жария IP жағдайында қолданылуға арналған.

Мысалы, егер сіздің провайдеріңіз сізге DHCP арқылы немесе PPPoE арқылы IP берсе және ол үнемі өзгеріп тұрса, онда masquerade дәл осындай жағдайларға арналған.

Мысал:

/ip firewall nat
        add chain=srcnat src-address=10.0.0.0/24 action=masquerade out-interface=WAN
          

Бұл конфигурация 10.0.0.0/24 ішкі желіден шыққан барлық трафикті WAN интерфейсі арқылы жібергенде, оны автоматты түрде сыртқы IP-мен сәйкестендіріп жібереді.

Masquerade пен srcnat айырмашылығы:

• Masquerade — интерфейс IP-і динамикалық болған кезде ыңғайлы.
• srcnat — IP-і тұрақты болса, жақсырақ, өйткені ол байланыс жазбаларын сақтайды.

Көпжолды (multi-route) желіде қиындықтар:

Егер негізгі байланыс үзіліп, маршрут басқа жолмен жүретін болса, мынадай жағдай орын алуы мүмкін:

1. Негізгі WAN интерфейс ажырағанда, барлық masquerade байланыстар жойылады.
2. Жаңа пакет келіп, басқа маршрутпен шығып кетеді (егер альтернатива болса).
3. Негізгі байланыс қалпына келгенде, пакет бұрынғы masquerade-сыз шығып, жергілікті IP желіге ағып кетеді.

NAT шектеулері:

• NAT құрылғылардың арасында нағыз end-to-end байланысты орната алмайды.
• Кейбір қызметтер (мысалы, сырттан TCP қосылым бастауды қажет ететіндер немесе UDP секілді статустық емес протоколдар) дұрыс жұмыс істемеуі мүмкін.
• RouterOS жүйесінде бұл шектеулерді шешу үшін NAT helpers бар.

Layer7 (7-қабат) сүзгілеу

Layer7 Protocol — бұл ICMP, TCP немесе UDP ағындарынан белгілі бір үлгілерді (pattern) іздеуге арналған әдіс.

Қалай жұмыс істейді?

• L7 сүзгі байланыс басталғанда алғашқы 10 пакет немесе 2KB деректі жинайды.
• Берілген regexp үлгісін осы деректен іздейді.
• Егер сәйкестік табылмаса — тексеруді тоқтатады және жады босатылады.
• Үлгі табылған жағдайда, тиісті firewall әрекеті орындалады (мысалы, блоктау, таңбалау және т.б.).

Егер сіз input немесе prerouting тізбегіне ереже орнатсаңыз, онда дәл сол ережені output немесе postrouting тізбегіне де орнатуыңыз керек. Әйтпесе дерек толық жиналмай, үлгі дұрыс танылмауы мүмкін.

Мысал үлгі:

/ip firewall layer7-protocol
      add name=block_tiktok regexp="^.+(tiktok\\.com|ttcdn\\.com).*\$"
        

Бұл үлгі TikTok-қа қатысты трафикті тануға тырысады. Осы L7 протоколды firewall-да қолдануға болады:

/ip firewall filter
      add action=drop chain=forward layer7-protocol=block_tiktok
        

Назар аударыңыз:

• Layer7 — case insensitive, яғни бас әріп/кіші әріп айырмашылығын елемейді.
• Көп байланыс болған жағдайда жад пен процессор жүктемесі қатты артады.
• Қате болған жағдайда, RouterOS журналда topic=firewall арқылы ескерту шығарады.

RouterOS жүйесіндегі Пакет Ағыны

Жалпы Пакет Ағыны Диаграммасы

Енді жалпы диаграммаға назар аударайық. Басында бұл күрделі көрінуі мүмкін, бірақ мысалдармен бірге диаграмманы қарастырғаннан кейін бәрі әлдеқайда түсінікті болады.

Диаграмманың ортасында 4 блок бар: Көпірлеу (Bridging), Маршрутизация (Routing), MPLS шешімдері және жергілікті маршрутизатор процестері. Мысалы, егер пакет маршрутизатор арқылы маршрутизациялануы қажет болса, онда пакет төмендегі суретте көрсетілгендей ағын бойынша өтеді. Әр функцияны терең қарастырмай, пакет in-интерфейс арқылы кіреді, маршрутизатор бұл IP трафик екенін анықтап, оны маршрутизациялау қажет деп шешеді, барлық маршрутизация процесінен өтеді де, out-интерфейс арқылы шығады.

Енді пакет маршрутизатордың өзіне бағытталған жағдайда не болатынын көрсететін тағы бір мысалды қарастырайық. Мысалы, in-интерфейс ICMP (ping) пакетін қабылдайды, ал оның мекенжайы маршрутизатордың өзі болып табылады, сондықтан бұл пакет жергілікті өңдеуге (local-in) жіберіледі. Пакет өңделгеннен кейін маршрутизатор ішінде ICMP (ping) жауабы генерацияланады (local-out өңдеу) және out-интерфейс арқылы жіберіледі.

Bridging, MPLS және Routing ағындарын тереңірек қарастыру

Енді көпірлеу (bridging), MPLS және маршрутизация (routing) ағындарының ішінде не болып жатқанын тереңірек қарастырайық.

Тізбектер (Chains)

RouterOS жүйесінде әдепкі бірнеше тізбек (chain) бар. Бұл тізбектер пакеттерді желінің әртүрлі кезеңінде сүзуге мүмкіндік береді:

• PREROUTING тізбегі – бұл тізбектегі ережелер желі интерфейсіне жаңадан келген пакетке қолданылады. Бұл тізбек nat, mangle және raw кестелерінде болады.
• INPUT тізбегі – бұл тізбектегі ережелер пакет жергілікті процеске берілмес бұрын қолданылады. Бұл тізбек mangle және filter кестелерінде болады.
• OUTPUT тізбегі – бұл тізбектегі ережелер пакетті жергілікті процесс жасағаннан кейін қолданылады. Бұл тізбек raw, mangle, nat, және filter кестелерінде болады.
• FORWARD тізбегі – бұл тізбектегі ережелер маршрутизатор арқылы өтетін барлық пакетке қолданылады. Бұл тізбек тек mangle және filter кестелерінде болады.
• POSTROUTING тізбегі – бұл тізбектегі ережелер пакет желі интерфейсінен шығар алдында қолданылады. Бұл тізбек nat және mangle кестелерінде болады.

Prerouting, Input, Forward, Output және Postrouting блоктарының әрқайсысында тағы басқа функциялар болады. Олар пакет ағыны диаграммасының үшінші бөлімінде көрсетілген.

Маршрутталған Пакеттің Ағыны (Flow of Routed Packet)

Input

Output

Көпір арқылы өтетін пакеттің ағыны (Flow of Bridged Packet)

Көпір арқылы жіберу (Bridge Forward)

Көпірге бағытталған трафик (Bridge Input)

Көпірден шығу процесі (Bridge Output)

Firewall қосылған кезде бағыттау (Forward With Firewall Enabled)

Кейбір желі баптауларында көпірленген трафик үшін бағыттау тізбектерінде қосымша өңдеуді қосу қажет болуы мүмкін, мысалы, simple queues немесе IP firewall пайдалану үшін. Бұл use-ip-firewall параметрі көпір баптауларында қосылған кезде іске асады. Қосымша өңдеу CPU ресурстарын көп тұтынады.

Барлық қадамдар бұрынырақ талқыланды, төменде қысқаша қайталау берілген:

• Пакет bridge NAT dst-nat тізбегінен өтеді;
• use-ip-firewall қосылғанда, пакет әрі қарай prerouting тізбегінде өңделеді;
• Пакет prerouting өңдеуіне кіреді;
• Пакет bridge host кестесінен өтіп, бағыттау шешімі қабылданады;
• Пакет bridge filter forward тізбегінен өтеді;
• use-ip-firewall қосылғанда, пакет әрі қарай routing forward тізбегінде өңделеді;
• Пакет routing forward өңдеуіне кіреді;
• Пакет bridge NAT src-nat тізбегінен өтеді;
• use-ip-firewall қосылғанда, пакет әрі қарай postrouting тізбегінде өңделеді;
• Пакет postrouting өңдеуіне кіреді;

Аппараттық жүктемені бөліп өңдеу арқылы өтетін пакет ағыны (Flow of Hardware Offloaded Packet)

Алдыңғы тақырыпта біз бағдарламалық көпірлеуді қарастырдық, ол пакеттерді дұрыс көпір порты арқылы бағыттау үшін негізгі CPU өңдеуді қажет етеді. Көптеген MikroTik құрылғылары арнайы коммутатор аппараттық жабдықтарымен жабдықталған, оны коммутатор чипі немесе ASIC деп атайды. Бұл функция бізге көпір порты арасында пакет алмасу немесе пакет сүзгілеу сияқты кейбір көпірлеу қызметтерін CPU ресурстарын жұмсамай осы арнайы аппараттық чипке жүктеуге мүмкіндік береді.

RouterOS-та бұл функцияны Bridge Hardware (HW) Offloading деп атайды. Әр түрлі MikroTik құрылғылары әр түрлі коммутатор чиптерімен жабдықталған және әр чипте әртүрлі мүмкіндіктер болады, сондықтан толық ақпарат алу үшін Bridge Hardware Offloading мақаласын қараңыз.

Interface HTB дұрыс жұмыс істемейді, егер out-interface аппараттық жүктемеге берілген болса және bridge Fast Path белсенді болмаса.

• switching decision – коммутатор моделіне кеңінен байланысты. Бұл блок барлық коммутаторлық тапсырмаларды басқарады, мысалы, хостты үйрену, пакет бағыттау, сүзгілеу, VLAN белгілеу/белгісіздеу және т.б. Кейбір коммутатор баптаулары пакет ағынын өзгерте алады;
• switch-cpu port – негізгі CPU мен басқа коммутатор порттары арасындағы байланыс үшін арнайы бөлінген порт. Бұл порт RouterOS-та тек коммутатор мәзірінде ғана көрінеді, және оған ешқандай бағдарламалық баптаулар (мысалы, interface-list) қолданылмайды. CPU-ға жеткен пакеттер физикалық in-interface-ке байланыстырылады.

Аппараттық жүктемені бөлу құрылғыны тек аппараттық шектеулі мүмкіндіктермен ғана шектемейді, керісінше аппараттық және бағдарламалық өңдеуді қатар қолдануға мүмкіндік береді. Бұл пакеттердің коммутатор чипі арқылы қалай өтіп жатқаны мен дәл қай кезде негізгі CPU-ға берілетіні туралы терең түсінікті қажет етеді.

/interface/ethernet/switch мәзіріндегі және оның қосымша мәзірлеріндегі ACL ережелері, көшіру (mirroring), кіріс/шығыс жылдамдық шектегіштері, QoS және L3HW (интер-VLAN бағыттауды қоспағанда) сияқты коммутатор функциялары аппараттық жүктемені бөлуге сенбеуі мүмкін. Сондықтан олар аппараттық жүктемеге берілмеген көпірге бапталған интерфейстерге қолданылуы ықтимал.

Коммутатор арқылы бағыттау (Switch Forward)

Көпір аппараттық жүктемесі қосылған кезде және пакет бір коммутатор чипіндегі екі порт арасында бағытталған кезде пакет ағынын әрі қарай талқылаймыз. Бұл ең кең таралған және ең қарапайым мысалдардың бірі:

• Коммутатор кіріс интерфейстің аппараттық жүктемеге берілгенін тексереді;
• Пакет бағыттау шешімін қабылдау үшін коммутатордың хост кестесінен өтеді. Егер бағыттау үшін сәйкес MAC мекенжай табылса, пакет физикалық интерфейс арқылы шығады.
• Егер пакет таратылатын пакет болса (мысалы, broadcast, multicast, белгісіз unicast трафик), ол көбейтіліп, барлық аппараттық жүктемеге берілген коммутатор порттарына жіберіледі.

CPU-ға коммутатордан кіру (Switch to CPU Input)

Бұл процесс пакет физикалық интерфейске келгенде және одан әрі бағдарламалық өңдеу үшін switch-cpu портына бағытталған кезде орын алады. Switch-cpu портына екі жол бар:

1. Аппараттық жүктеме мен коммутатор функциясы қолданылмайтын жол (мысалы, маршрутизацияға арналған жеке интерфейс немесе HW жүктемесі әдейі өшірілген көпірленген интерфейс). Бұл жағдайда пакет бағдарламалық өңдеуге жіберіледі.
2. Кіріс интерфейсінде аппараттық жүктеме белсенді болған жағдайда, пакет коммутатор шешімі арқылы өтеді және бірнеше себептерге байланысты пакет switch-cpu портына жіберілуі мүмкін:

• Пакеттің мақсатты MAC мекенжайы жергілікті MAC мекенжайымен сәйкес келеді (мысалы, пакет жергілікті көпір интерфейсіне бағытталған кезде);
• Пакет барлық коммутатор порттарына, соның ішінде switch-cpu портына таратылуы мүмкін (мысалы, broadcast, multicast немесе белгісіз unicast трафигі);
• Коммутатор кейбір хосттарға тек CPU арқылы жетуге болатынын үйренген (мысалы, HW және HW емес интерфейстері бар көпірлерде, мысалы, сымсыз, EoIP немесе Ethernet интерфейстері);
• Пакет арнайы көшірмеленіп switch-cpu портына жіберіледі (мысалы, пакетті талдау үшін);
• Коммутатор конфигурациясымен пакет бағдарламалық өңдеуге жіберілуі қажет (мысалы, DHCP немесе IGMP snooping үшін).

Аппараттық жүктемесі қосылған кіріс интерфейсінің пакет ағынын қарастыру:

• Коммутатор кіріс интерфейсінің аппараттық жүктемеге берілгенін тексереді;
• Коммутатор хост кестесі арқылы бағыттау шешімін қабылдайды. Егер жоғарыда айтылған жағдайлардың біреуі орын алса, пакет switch-cpu портына жіберіледі;
• Пакет switch-cpu портынан шығып, әрі қарай RouterOS пакет ағыны бойынша өңделеді.

Коммутатор чипі тарапынан таратылған кез келген қабылданған пакет бағдарламалық көпір арқылы сол аппараттық топқа қайталанып таратылмайды. Бұл дубликат пакеттердің түзілуін болдырмайды.

CPU-дан коммутаторға шығу (CPU Output to Switch)

Бұл процесс RouterOS бағдарламалық өңдеуден шыққан пакет switch-cpu портында қабылданғанда орын алады. Пакеттің екі өту жолы бар:

1. Аппараттық жүктеме мен коммутатор функциясы қолданылмайтын жол (мысалы, маршрутизацияға арналған жеке интерфейс немесе HW жүктемесі әдейі өшірілген көпірленген интерфейс). Бұл жағдайда пакет физикалық шығу интерфейсі арқылы шығады.
2. Шығу интерфейсінде аппараттық жүктеме белсенді болса, пакет коммутатор шешімі арқылы өтеді. Басқа коммутатор порттары сияқты, switch CPU порты арқылы қабылданған пакеттерден коммутатор бастапқы MAC мекенжайларын үйренеді. Бұл HW және HW емес интерфейстері бар көпірлерде өте пайдалы, себебі коммутатор қандай кадрларды CPU-ға жіберу керектігін біледі.

Аппараттық жүктемесі қосылған шығу интерфейсіндегі пакет ағынын қарастыру:

• RouterOS бағдарламалық өңдеуден шыққан пакет switch-cpu портында қабылданады;
• Коммутатор шығу интерфейсінің аппараттық жүктемеге берілгенін тексереді;
• Коммутатор хост кестесі арқылы бағыттау шешімін қабылдайды. Егер мақсатты MAC мекенжайымен сәйкес келсе, пакет физикалық интерфейс арқылы шығады. Егер пакет таратылса (мысалы, broadcast, multicast, белгісіз unicast трафигі), пакет көбейтіліп, аппараттық жүктемесі бар барлық коммутатор порттарына жіберіледі.

Аппараттық жүктемесі қосылған интерфейстер арқылы таратылған пакеттерді жіберетін бағдарламалық көпір, әрбір аппараттық жүктемесі бар интерфейс үшін емес, әрбір аппараттық топ үшін тек бір ғана пакет көшірмесін жібереді. Таратудың нақты жұмысы коммутатор чипімен жүзеге асырылады, бұл дубликат пакеттердің пайда болуын болдырмайды.

Логикалық интерфейстер (Logical Interfaces)

Бұған дейін біз кіріс немесе шығыс интерфейстер нақты физикалық интерфейстер болған мысалдарды қарадық (Ethernet, сымсыз), бірақ егер маршрутизатор туннельдік инкапсуляцияланған пакеттерді алса, пакет ағыны қалай өтеді?

Мысалы, маршрутизаторға IPIP пакеті түседі деп алайық. Бұл кәдімгі IPv4 пакеті болғандықтан, ол барлық маршрутизацияға қатысты өңдеулерден өтеді (суреттегі "J" нүктесіне дейін). Содан кейін маршрутизатор пакет инкапсуляциясын ашу қажет пе екеніне қарайды. Бұл жағдайда IPIP пакеті болғандықтан, "иә", пакет декapsulation-ға жіберіледі. Кейін пакет тағы бір айналымға өтеді, бірақ бұл жолы декapsulation жасалған IPv4 пакеті ретінде өңделеді.

Бұл өте маңызды, себебі пакет өртелмейтін (firewall) құрылғыдан екі рет өтеді. Егер қатал өртелмейтін ережелер болса, онда IPIP инкапсуляцияланған пакеттерге де, декapsulation жасалған IP пакеттерге де "қабылдау" (accept) ережелері болуы керек.

VLAN фильтрлеу қосылған көпір (bridge) арқылы пакет инкапсуляциясы және декapsulation логикалық интерфейстерге қатысы жоқ. Бұл туралы толығырақ көпір бөліміне қараңыз.

IPSec саясаттары (IPSec Policies)

Басқа туннель түріне назар аударайық — IPSec. Бұл VPN түрінде логикалық интерфейстер жоқ, бірақ өңдеу ұқсас жолмен жүреді.

Логикалық интерфейстердің орнына пакеттер IPSec саясаттары арқылы өңделеді. Маршрутизация шешімі қабылданғаннан кейін (2) және кіріс өртелмейтін (firewall) өңдеуінен кейін (3), маршрутизатор бастапқы және тағайындалған IP мекенжайларды IPSec саясатына сәйкестендіруге тырысады. Егер сәйкестік табылса, пакет шифрлануын шешуге жіберіледі (5). Шифр ашылғаннан кейін пакет қайтадан PREROUTING өңдеуіне өтеді (6) және тағы бір өңдеу циклін бастайды, бірақ енді декapsulation жасалған пакетпен.

Инкапсуляция процесі де сол сияқты, бірақ кері бағытта жүреді. Алғашқы IP пакеті барлық өңдеулерден өтеді, содан кейін IPSec саясаттарына салыстырылады (5), инкапсуляцияланады (6) және екінші циклдегі өңдеуге жіберіледі (7-10).

Fast Path

Қазірге дейін үйренгеніміздей, пакеттерді өңдеу процессі көп CPU ресурсын қажет етеді. Сондықтан RouterOS v6-нұсқасында FastPath енгізілді. Бұл Linux ядросындағы кейбір өңдеулерді өткізіп жіберіп, өнімділікті арттырады. FastPath жұмыс істеуі үшін интерфейс драйверінің қолдауы және нақты конфигурация талап етіледі.

Fast Path қалай жұмыс істейді

FastPath — бұл интерфейс драйверінің кеңейтілуі, ол драйверге RouterOS-тің кейбір функцияларына тікелей қатынасуға мүмкіндік береді және қалған өңдеулерді өткізіп жібереді.

FastPath арқылы пакет тек шығу интерфейсі емес, ең болмағанда бастапқы интерфейс қолдайтын болса ғана өтеді. Толық FastPath үшін шығу интерфейсінің қолдауы да қажет.

Қолданыстағы FastPath өңдеушілер

• IPv4
• IPv4 FastTrack
• Traffic Generator
• MPLS
• Bridge

IPv4 FastPath шарттары

• Өртелмейтін ережелер (firewall rules) конфигурацияланбаған;
• Simple queue немесе global ата-аналы queue tree жоқ;
• Mesh немесе MetaRouter интерфейсі жоқ;
• Sniffer немесе Torch жұмыс істемейді;
• Connection tracking белсендірілмеген;
• IP есептеу (accounting) өшірілген;
• VRF конфигурацияланбаған;
• Hotspot интерфейстері жоқ;
• IPSec саясаттары жоқ;
• MAC және IP сканерлері белсенді емес.

FastTrack қолданылған жағдайда пакеттер FastPath арқылы өтеді, жоғарыда аталған шарттарға қарамастан.

Traffic Generator

Интерфейс FastPath қолдаса, автоматты түрде FastPath пайдаланады.

MPLS FastPath

MPLS-тегі FastPath тек MPLS ауысатын трафикке және VPLS енкапсуляция/декэпсуляцияға қолданылады.

Bridge FastPath шарттары

• Bridge Calea, filter, NAT ережелері жоқ;
• use-ip-firewall өшірілген;
• Mesh, MetaRouter интерфейстері жоқ;
• Sniffer, Torch, Traffic Generator жұмыс істемейді;
• VLAN filtering өшірілген (RouterOS 7.2-нұсқасынан кейінгі шарт);
• Bridge DHCP snooping өшірілген.

VLAN filtering белсенді болғанда FastPath priority-tagged пакеттерді қолдамайды — олар SlowPath арқылы өтеді.

FastPath-ты қолдайтын интерфейстер

• RB6xx сериясы — ether1,2
• RB800 — ether1,2
• RB1100 сериясы — ether1-11
• Барлық Ethernet, wireless, bridge, VLAN, VRRP интерфейстері
• Bonding (RX тек), PPPoE, L2TP, EoIP, GRE, IPIP, VXLAN интерфейстері
• VPLS (v7.17-нұсқадан бастап)

EoIP, GRE, IPIP, VXLAN және L2TP интерфейстерінде allow-fast-path параметрі бар. FastPath қосқанда firewall, connection tracking, simple queues, IP accounting және т.б. функциялар айналып өтіледі. Сондай-ақ, FastPath пакеттері фрагменттелген пакеттерді қабылдамайды.

FastPath-тың статусы

FastPath қолданылуын /interface print stats-detail арқылы тексеруге болады.

Half-FastPath

Пакет FastPath-тан SlowPath-қа ауыса алады, бірақ керісінше емес. Мысалы, қабылдау интерфейсі FastPath қолдаса, бірақ шығу интерфейсі қолдамаса, FastPath-тың қолдайтын жеріне дейін өңделіп, қалған бөлігі SlowPath арқылы өтеді.

FastTrack

FastTrack — бұл Fast Path және Connection Tracking-тің бірігуі. Ол қосылыстарды «fast-tracked» ретінде белгілеп, осы қосылыстарға жататын пакеттерді FastPath арқылы жібереді. Қосылыс кестесінде fast-tracked белгісі пайда болады.

FastTrack пакеттері firewall, connection tracking, simple queues, parent=global queue tree, IP traffic-flow, IP есептеу, IPSec, hotspot universal client, VRF тағайындау сияқты функцияларды айналып өтеді. Сондықтан әкімші FastTrack басқа конфигурацияларға кедергі жасамайтынына мұқият болу керек!

Қосылысты fast-tracked ретінде белгілеу үшін firewall filter және mangle-де «fasttrack-connection» атты жаңа әрекет енгізілді. Қазіргі таңда тек IPv4 TCP және UDP қосылыстары ғана FastTrack-та өңделеді. Кейбір кездейсоқ пакеттер SlowPath арқылы жіберіледі, бұл firewall-ды FastTrack қосылғанда жобалауда ескерілуі тиіс.

FastTrack өңдеушісі source және destination NAT-ты да қолдайды, сондықтан NAT қосылыстарына арнайы ерекшеліктер жасау қажет емес.

Fast-tracked қосылыстарға жататын трафик FastPath арқылы өтеді, сондықтан ол басқа L3 қызметтері (firewall, queues, IPsec, IP есептеу, VRF тағайындау және т.б.) үшін көрінбейді. FastTrack іздеу операциясы маршрутизация белгілері орнатылмас бұрын жүреді, сондықтан ол тек негізгі маршрутизация кестесімен жұмыс істейді.

FastTrack-ты үй маршрутизаторында қолдануды бастау үшін, әдетте established және related қосылыстарға fasttrack қосылады:

/ip firewall filter
        add chain=forward action=fasttrack-connection connection-state=established,
        related comment="fasttrack established/related"
        add chain=forward action=accept connection-state=established,
        related comment="accept established/related"
        

Бірінші ереже established және related қосылыстарды fast-tracked деп белгілейді, ал екінші ереже сол қосылыстарға жататын пакеттерді қабылдайды. Себебі кейбір кездейсоқ пакеттер әлі де SlowPath арқылы өтеді, және тек UDP мен TCP fast-tracked болады, бірақ басқа протоколдардың пакеттерін де қабылдау керек.

FastTrack ережесін қосқаннан кейін тізімнің басында арнайы dummy ереже пайда болады. Бұл нақты ереже емес, тек FastPath арқылы өтіп жатқан трафиктің бар екенін визуалды түрде көрсетеді, яғни ол басқа firewall ережелеріне жетпейді.

FastTrack пакеттерді тек негізгі маршрутизация кестесі арқылы өңдейді, сондықтан әкімші FastTrack-қа non-main routing table арқылы өтетін қосылыстарды жібермеу керек (мысалы, mark-routing арқылы өңделетін қосылыстар). Әйтпесе пакеттер дұрыс бағытталмауы мүмкін.

Бұл ережелер кестеде кем дегенде бір fast-tracked қосылыс болған кезде ғана пайда болады және соңғы fast-tracked қосылыс аяқталған соң жойылады.

Қосылыс жабылғанға, уақыты аяқталғанға немесе маршрутизатор қайта жүктелгенге дейін FastTracked күйінде қалады.

FastTrack конфигурация мысалы: нақты хостты FastTrack-тан шығару

/ip firewall filter
        add action=accept chain=forward connection-state=established,related src-address=192.168.88.111
        add action=accept chain=forward connection-state=established,related dst-address=192.168.88.111
        add action=fasttrack-connection chain=forward connection-state=established,related hw-offload=no
        add action=accept chain=forward connection-state=established,related
        

Бұл мысалда 192.168.88.111 IP мекенжайлы хост FastTrack-тан шығарылған. Ол үшін алдымен осы хостқа арналған трафик (қайта бағытталған және шығатын) firewall ережелерімен қабылданады. Бұл тәсіл FastTrack әрекетіне жетпеуге мүмкіндік береді.

Ескерту: «Шығару» ережелері fasttrack ережелерінен бұрын орналастырылуы тиіс, себебі ережелер реті маңызды.

Талаптар

IPv4 FastTrack келесі шарттар орындалғанда ғана белсенді болады:

• mesh, metarouter интерфейс конфигурациясы жоқ;
• sniffer, torch және traffic generator іске қосылмаған;
• /tool mac-scan белсенді қолданылмайды;
• /tool ip-scan белсенді қолданылмайды;
• IP/Settings бөлімінде FastPath және Route cache қосулы (RouterOS v7 және одан кейінгі нұсқаларда route cache шарт қолданылмайды);
• Егер қосылым көпір интерфейсі арқылы өтетін болса, онда bridge FastPath қосулы.

Кезектер (Queues)

Жалпы шолу

Кезек (queue) — бұл белгілі бір құрылымдық әдіс арқылы желілік құрылғы арқылы жіберілуін күтіп тұрған дерек пакеттерінің жиынтығы. Кезектеу әдісі банктер мен супермаркеттердегідей, яғни бірінші келген — бірінші қызмет алады қағидасымен жұмыс істейді.

Кезектер келесі мақсаттарда қолданылады:

• белгілі бір IP мекенжайларға, ішкі желілерге, протоколдарға, порттарға деректер жылдамдығын шектеу;
• peer-to-peer (P2P) трафигін шектеу;
• пакеттерге басымдық беру (prioritization);
• трафикті жылдамдату үшін «burst» режимін орнату;
• уақытқа байланысты шектеулерді орнату;
• қолда бар трафикті қолданушылар арасында тең немесе арнаның жүктемесіне байланысты бөлу.

MikroTik RouterOS жүйесіндегі кезек жұмысы HTB (Hierarchical Token Bucket) негізінде жүзеге асады. HTB — иерархиялық кезек құрылымын жасап, олардың арасындағы қатынасты орнатады. Бұл құрылымдар пакетті өңдеу процесінің екі кезеңіне тіркелуі мүмкін: input және postrouting. Бұл Packet Flow диаграммасында көрсетіледі.

Кезек конфигурациясының түрлері

RouterOS жүйесінде кезектерді орнатудың екі негізгі жолы бар:

• /queue simple мәзірі — күнделікті қарапайым кезек міндеттерін жеңілдетілген түрде орнатуға арналған (мысалы, бір клиенттің жүктеу/жүктеп жіберу жылдамдығын шектеу, P2P трафигін басқару және т.б.).
• /queue tree мәзірі — күрделі кезектеу міндеттеріне арналған (мысалы, жаһандық басымдық саясаты, пайдаланушылар топтары бойынша шектеу). Бұл әдіс /ip firewall mangle арқылы трафикті белгілеп, нақты ағындармен жұмыс істейді.

RouterOS жүйесінде кезек 8 деңгейлі болуы мүмкін. Бірінші деңгей — интерфейс кезегі ( /queue interface мәзірінде), ал қалған 7-деңгей — Queue Simple және Queue Tree арқылы жасалатын ішкі кезектер.

Жылдамдықты шектеу қағидалары (Rate Limitation Principles)

Жылдамдықты шектеу (rate limiting) — бұл желі интерфейсі арқылы жіберілетін немесе қабылданатын трафик жылдамдығын басқару тәсілі. Егер трафиктің жылдамдығы белгіленген мәннен төмен немесе тең болса — трафик жіберіледі, ал асып кеткен трафик тасталады немесе кешіктіріледі.

Жылдамдықты шектеу екі түрлі тәсілмен орындалады:

• Шектеуден асқан пакеттерді тастау: мұндай әдіс rate-limiting деп аталады (dropper немесе shaper). Бұл кезде кезектің өлшемі queue-size=0 болса, жүйе толық шектеу режимінде жұмыс істейді.
• Шектеуден асқан пакеттерді кешіктіріп жіберу: бұл әдіс rate equalizing деп аталады (scheduler). Мұнда пакеттер кезекке қойылып, мүмкін болған кезде жіберіледі. Егер queue-size=unlimited болса — толық теңестіру режимі жұмыс істейді.

Төмендегі суретте жылдамдықты шектеу мен теңестірудің арасындағы айырмашылық көрсетілген:

Жылдамдықты шектеу: CIR және MIR түсінігі

Алдыңғы бөлімде көргеніміздей, екі түрлі жағдай болуы мүмкін:

• Бірінші жағдайда — барлық шектеуден асқан трафик тасталады.
• Екінші жағдайда — шектеуден асқан трафик уақытша кезекке қойылады және кейін босай қалған уақытта жіберіледі.

Ескерту: Пакет тек кезек буфері толмаған жағдайда ғана кешіктірілуі мүмкін. Егер кезек толса — пакеттер тасталады.

Әрбір кезекке екі шектеу параметрі тағайындалады:

• CIR (Committed Information Rate) – (RouterOS жүйесінде: limit-at)
  Бұл — кепілдендірілген өткізу қабілеті. Яғни, ең нашар жағдайда да осы мөлшердегі жылдамдық бөлінеді. Жүйе әрдайым осы деңгейден төмен түсіп кетпеуі керек.
• MIR (Maximum Information Rate) – (RouterOS жүйесінде: max-limit)
  Бұл — ең жақсы жағдайда қолжетімді болатын ең жоғары жылдамдық. Егер артық өткізу қабілеті болса, ағым осы мәнге дейін жылдамдық ала алады.

Simple Queue

/queue simple — нақты бір мақсат үшін трафикті шектеудің қарапайым тәсілі. Сонымен қатар, Simple Queue арқылы күрделі QoS (Quality of Service) қолданбаларын да жасауға болады. Олардың бірнеше пайдалы ендірілген функциялары бар:

• peer-to-peer (P2P) трафигін кезекке қою;
• таңдалған уақыт аралығында ережелер қолдану;
• трафикке басымдық беру (prioritization);
• /ip firewall mangle бөлімінен алынған бірнеше пакет белгілерін пайдалану;
• екі бағыттағы трафикке бір лимит қолдану (жүктеу + жіберу қосындысына шектеу қою).

Simple Queue жұмыс тәртібі

Simple Queue жүйесінде трафиктер кезектер арқылы қатаң тәртіппен өтеді — әрбір пакет тізімдегі барлық кезектерді қарап шығады, тек белгілі бір кезек шарттарына сәйкес келген кезде ғана тоқтайды. Егер мысалы, 1000 кезек болса, соңғы кезекке сәйкес келетін пакет 999 кезекті қарап шығуға мәжбүр болады.

Мақсат бойынша трафикті анықтау

Simple Queue target өрісі арқылы src (жіберуші) және dst (қабылдаушы) мекенжайларына қарай трафикті шектейді:

• Егер src address target өрісіне сәйкес келсе — бұл жүктеу (upload) болып есептеледі.
• Егер dst address target өрісіне сәйкес келсе — бұл жүктеп алу (download).
• Егер src және dst екеуі де бір уақытта target өрісіне сәйкес келсе, онда барлық трафик жүктеп алу (download) ретінде есептеледі, себебі RouterOS алдымен dst мәнін тексереді.

Конфигурация мысалы

Келесі мысалда бізде бір SOHO (шағын кеңсе/үй) құрылғысы және оған қосылған екі құрылғы бар: ДК (PC) және Сервер (Server).

Бұл жағдайда интернет-провайдер (ISP) бізге 15 Мбит/с жылдамдықпен байланыс ұсынады. Серверге жеткілікті трафик жетуін қамтамасыз ету үшін біз limit-at параметрімен Simple Queue (қарапайым кезек) орнатамыз — бұл серверге кемінде 5 Мбит/с кепілдендірілген жылдамдық береді:

/queue simple
        add limit-at=5M/5M max-limit=15M/15M name=queue1 target=192.168.88.251/32

Бітті. Сервер басқа трафиктерге қарамастан 5 Мбит/с жылдамдықты тұрақты түрде алады.

Queue Tree

/queue tree — бір бағыттағы кезек (queue) құруға арналған және ол HTB (Hierarchical Token Bucket) құрылымының біреуінде ғана жұмыс істейді. Бұл әдіс белгілі бір интерфейске бөлек кезек қосуға мүмкіндік береді.

Осы тәсіл арқылы Mangle конфигурациясын жеңілдетуге болады — бөлек жүктеу (download) және жіберу (upload) белгілерін жасаудың қажеті жоқ. Жүктеу трафигі Private интерфейске, ал жіберу трафигі Public интерфейске түседі. Queue Tree негізгі айырмашылығы — Simple Queue секілді қатты тәртіппен емес, барлық трафикті бірге өңдейді.

Конфигурация мысалы

Бұл мысалда біз in-interface-list=LAN интерфейсі арқылы келіп жатқан барлық пакеттерді белгілеп, Queue Tree арқылы осы белгілерге сүйене отырып, трафикті шектейміз.

1-қадам: Firewall address-list жасау

/ip firewall address-list
        add address=www.youtube.com list=Youtube

Нәтиже:

[admin@MikroTik] > ip firewall address-list print
        Flags: X - disabled, D - dynamic 
        #   LIST     ADDRESS             CREATION-TIME
        0   Youtube  www.youtube.com     oct/17/2019 14:47:11
        1 D Youtube  216.58.211.14       oct/17/2019 14:47:11
        2 D Youtube  216.58.207.238      oct/17/2019 14:47:11
        3 D Youtube  216.58.207.206      oct/17/2019 14:47:11
        4 D Youtube  172.217.21.174      oct/17/2019 14:47:11
        5 D Youtube  216.58.211.142      oct/17/2019 14:47:11
        6 D Youtube  172.217.22.174      oct/17/2019 14:47:21
        7 D Youtube  172.217.21.142      oct/17/2019 14:52:21

2-қадам: Mangle арқылы пакетті белгілеу

/ip firewall mangle
        add action=mark-packet chain=forward dst-address-list=Youtube 
        in-interface-list=LAN new-packet-mark=pmark-Youtube passthrough=yes

3-қадам: Queue Tree жасау

/queue tree
        add max-limit=5M name=Limiting-Youtube packet-mark=pmark-Youtube 
        parent=global

4-қадам: Queue Tree статистикасын тексеру

/queue tree print stats
        Flags: X - disabled, I - invalid 
        0 name="Limiting-Youtube" parent=global packet-mark=pmark-Youtube 
          rate=0 packet-rate=0 queued-bytes=0 queued-packets=0 
          bytes=67887 packets=355 dropped=0

Queue Types

/queue type ішкі мәзірінде әдепкі бойынша жасалған кезек түрлері (queue types) көрсетіледі және пайдаланушыға арналған жаңа кезек түрлерін қосуға мүмкіндік беріледі.

RouterOS келесі әдепкі кезек түрлерін автоматты түрде жасайды:

        [admin@MikroTik] > /queue type print
        Flags: * - default 
        0 * name="default" kind=pfifo pfifo-limit=50 

        1 * name="ethernet-default" kind=pfifo pfifo-limit=50 

        2 * name="wireless-default" kind=sfq sfq-perturb=5 sfq-allot=1514 

        3 * name="synchronous-default" kind=red red-limit=60 red-min-threshold=10 
        red-max-threshold=50 red-burst=20 red-avg-packet=1000 

        4 * name="hotspot-default" kind=sfq sfq-perturb=5 sfq-allot=1514 

        5 * name="pcq-upload-default" kind=pcq pcq-rate=0 pcq-limit=50KiB pcq-classifier=src-address
        pcq-total-limit=2000KiB pcq-burst-rate=0 pcq-burst-threshold=0 pcq-burst-time=10s
        pcq-src-address-mask=32 
            pcq-dst-address-mask=32 pcq-src-address6-mask=128 pcq-dst-address6-mask=128 

        6 * name="pcq-download-default" kind=pcq pcq-rate=0 pcq-limit=50KiB pcq-classifier=dst-address
        pcq-total-limit=2000KiB pcq-burst-rate=0 pcq-burst-threshold=0 pcq-burst-time=10s
        pcq-src-address-mask=32 
            pcq-dst-address-mask=32 pcq-src-address6-mask=128 pcq-dst-address6-mask=128 

        7 * name="only-hardware-queue" kind=none 

        8 * name="multi-queue-ethernet-default" kind=mq-pfifo mq-pfifo-limit=50 

        9 * name="default-small" kind=pfifo pfifo-limit=10
          

1. only-hardware-queue

Барлық MikroTik құрылғыларында әдепкі кезек түрі ретінде only-hardware-queue қолданылады ( kind=none). Бұл интерфейсте тек аппараттық Transmit Descriptor Ring Buffer қалдырады, ол өздігінен кезек рөлін атқарады.

Бұл буферде әдетте кем дегенде 100 пакетке дейін орналастыруға болады. Оның нақты көлемі және рұқсат етілген пакет саны әртүрлі Ethernet MAC түріне байланысты өзгереді.

Бұл түр SMP (Symmetric Multiprocessing) жүйелерінде тиімді, себебі әртүрлі CPU/ядролардан қол жеткізуді синхрондау қажеттілігі болмайды, бұл ресурсты көп талап етеді.

only-hardware-queue параметрін қолдану үшін Ethernet драйвер қолдауы қажет, сондықтан ол тек кейбір Ethernet интерфейстерінде ғана қолжетімді — көбінесе RouterBOARD құрылғыларында.

2. multi-queue-ethernet-default

multi-queue-ethernet-default — бірнеше жіберу кезектері (transmit queues) бар Ethernet интерфейстері және оларда бірнеше аппараттық кезектерге арналған Linux драйвер қолдауы бар болса, SMP жүйелерінде пайдалы болады.

Әрбір аппараттық кезекке бір бағдарламалық кезек орната отырып, процессорлар арасындағы синхрондау уақыты азаяды.

Маңызды ескерту

Кезек түрлері (Queue Kinds)

Queue kinds — бұл пакеттерді өңдеу алгоритмдері. Олар келесі кезекте қай пакет жіберілетінін анықтайды.

RouterOS келесі кезек алгоритмдерін (kind) қолдайды:

• FIFO (BFIFO, PFIFO, MQ PFIFO)
• RED
• SFQ
• PCQ

FIFO

FIFO (First-In-First-Out) — бірінші келген пакет бірінші өңделеді. Бұл алгоритмге келесі түрлер жатады:

• PFIFO — кезек шегі (limit) пакет саны бойынша өлшенеді.
• BFIFO — кезек шегі байтпен өлшенеді.
• MQ-PFIFO — көпарналы (multi-queue) pfifo. SMP жүйелерінде (бірнеше ядро) және бірнеше жіберу кезегі бар Ethernet интерфейстерінде пайдалы. Linux драйвер қолдауын қажет етеді (негізінен x86 платформаларында).

Егер кезек толып кетсе, жаңа келген пакеттер тасталады. Кезек өлшемі неғұрлым үлкен болса, кідіріс артады, бірақ арна тиімді пайдаланылады.

RED (Random Early Drop)

RED — бұл желідегі бітелуді болдырмау үшін кезектің орташа көлемін бақылайтын алгоритм. RED орташа кезек көлемін екі шекті мәнмен салыстырады:

• minth — минималды шек
• maxth — максималды шек

Қағидалар келесідей:

• Егер avgq < minth болса — ешқандай пакет тасталмайды.
• Егер avgq > maxth болса — барлық жаңа пакеттер тасталады.
• Егер minth < avgq < maxth болса — пакеттер Pd ықтималдығымен кездейсоқ тасталады.

Бұл ықтималдық келесі формуламен есептеледі:

 Pd = Pmax * (avgq – minth) / (maxth - minth)

Pmax — бұл пакет тастау ықтималдығының қаншалықты күрт өсетінін реттейтін коэффициент. Ең қарапайым жағдайда Pmax = 1.

SFQ (Stochastic Fairness Queuing)

SFQ — бұл әділ таратуды қамтамасыз ететін кезек түрі. Ол хештеу және дөңгелек-кезек (round-robin) алгоритмдерінің көмегімен жұмыс істейді.

SFQ «Стохастикалық» деп аталады, өйткені ол әрбір ағынға жеке кезек бөлмейді. Оның орнына арнайы хештеу алгоритмі арқылы трафик 1024 шектеулі кезекке бөлінеді.

Желі ағыны (traffic flow) келесі 4 параметр арқылы бірегей түрде анықталады:

• Көз IP мекенжайы (src-address)
• Мақсат IP мекенжайы (dst-address)
• Көз порт (src-port)
• Мақсат порт (dst-port)

SFQ осы параметрлерді пайдаланып пакеттерді 1024 ішкі ағымның (sub-stream) біріне орналастырады.

Содан кейін дөңгелек-кезек (round-robin) алгоритмі осы ішкі ағындарға трафикті әділ бөледі, әрбір айналымда әрқайсысына sfq-allot байт трафик береді.

• SFQ кезек жалпы 128 пакетке дейін сақтай алады.
• 1024 ішкі ағын қолжетімді.

Диаграмма 8.3 SFQ жұмысының құрылымын көрсетеді.

PCQ (Per Connection Queuing)

PCQ — өте қарапайым, бірақ тиімді алгоритм. Алдымен таңдалған классификаторлар арқылы трафик ағындарын (sub-stream) жеке-жеке бөледі. Содан кейін әрбір ағынға жеке FIFO кезек көлемі мен шектеулерді қолданады. Соңында барлық ағындарды біріктіріп, оларға жалпы шектеулерді қолданады.

PCQ негізгі параметрлері:

• pcq-classifier — (мысалы: src-address, dst-address, src-port, dst-port) — ағындарды жеке-жеке ажырату үшін қолданылатын критерийлер.
• pcq-rate — әрбір ішкі ағынға арналған максималды өткізу жылдамдығы (бит/сек).
• pcq-limit — бір ішкі ағын үшін кезек өлшемі (КиБ).
• pcq-total-limit — барлық ішкі ағындар үшін біріктірілген жалпы кезек шектеуі (КиБ).

Мысал: Егер pcq-rate=0 деп орнатылса, барлық ішкі ағындар желі өткізу мүмкіндігін тең бөліп алады. Бұл — желі ресурстарын әділ таратуға мүмкіндік береді.

Кеңейтілген брандмауэр құру

Шолу

Осы уақытқа дейін үйренгендеріміздің бәрінен кеңейтілген брандмауэр құрып көрейік. Бұл брандмауэр құру мысалында біз олардың қалай жұмыс істейтінін және оларды қашан дұрыс қолдану керектігін көрсету үшін мүмкіндігінше көп брандмауэр функцияларын қолдануға тырысамыз.

Сүзудің көп бөлігі RAW брандмауэрінде орындалады, кәдімгі брандмауэр тек маршрутизаторды толық қорғау үшін LAN-дан келмейтін басқасының бәрін тастаумен қатар, орнатылған (established), байланысты (related) және бақыланбайтын (untracked) қосылымдарды қабылдау үшін негізгі ережелер жиынтығын ғана қамтиды.

Интерфейс тізімдері (Interface Lists)

Болашақта басқаруды жеңілдету үшін екі интерфейс тізімі WAN және LAN қолданылады. Жаһандық интернетке қосылған интерфейстер WAN тізіміне қосылуы керек, бұл жағдайда ол ether1!

/interface list
  add comment=defconf name=WAN
  add comment=defconf name=LAN
/interface list member
  add comment=defconf interface=bridge list=LAN
  add comment=defconf interface=ether1 list=WAN

Құрылғыны қорғау (Protect the Device)

Мұндағы басты мақсат - маршрутизаторға тек LAN-дан кіруге рұқсат беру және басқасының бәрін тастау.

ICMP де мұнда қабылданатынын ескеріңіз, ол RAW ережелерінен өткен ICMP пакеттерін қабылдау үшін қолданылады.

/ip firewall filter
  add action=accept chain=input comment="defconf: accept ICMP after RAW" protocol=icmp
    add action=accept chain=input comment="defconf: accept established,related,untracked"
  connection-state=established,related,untracked
    add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN

Клиенттерді қорғау

Нақты ережелер жиынтығына дейін, алдымен бағыттауға болмайтын барлық IPv4/6 мекенжайларын қамтитын қажетті address-list жасаймыз.

Бұл тізімге multicast мекенжай диапазоны қосылғанын ескеріңіз. Ол көп жағдайда multicast қолданылмайтындықтан бар. Егер сіз multicast бағыттауды қолдануды жоспарласаңыз, онда бұл мекенжай тізіміндегі жазбаны өшіру керек.

/ip firewall address-list
  add address=0.0.0.0/8 comment="defconf: RFC6890" list=no_forward_ipv4
    add address=169.254.0.0/16 comment="defconf: RFC6890" list=no_forward_ipv4
      add address=224.0.0.0/4 comment="defconf: multicast" list=no_forward_ipv4
        add address=255.255.255.255/32 comment="defconf: RFC6890" list=no_forward_ipv4

Жергілікті желіні маскирлеу (Masquerade Local Network)

Маршрутизатордың артындағы жергілікті құрылғылар интернетке кіруі үшін жергілікті желілер маскирленуі керек. Көп жағдайда masquerade орнына src-nat қолдану ұсынылады, алайда бұл жағдайда WAN мекенжайы динамикалық болғандықтан, бұл жалғыз нұсқа.

/ip firewall nat
  add action=accept chain=srcnat comment="defconf: accept all that matches IPSec policy"
  ipsec-policy=out,ipsec disabled=yes
    add action=masquerade chain=srcnat comment="defconf: masquerade" out-interface-list=WAN

Өшірілген саясат сәйкестендіргіш ережесіне назар аударыңыз, брандмауэр сүзгілеріндегідей IPSec трафигі NAT-тан шығарылуы керек (IPsec саясаты NAT-талған мекенжайға сәйкес келетін нақты сценарийлерден басқа). Сондықтан маршрутизаторда IPsec туннельдері қолданылған кезде бұл ережені қосу керек.

RAW сүзу (RAW Filtering)

IPv4 мекенжай тізімдері (IPv4 Address Lists)

RAW ережелерін орнатпас бұрын, біздің сүзу саясатымыз үшін қажетті кейбір мекенжай тізімдерін жасаймыз. Сілтеме ретінде RFC 6890 қолданылады.

Бірінші address-list құрамында src/dst/forwarded және т.б. ретінде қолдануға болмайтын барлық IPv4 мекенжайлары бар (егер мұндай мекенжай табылса, бірден тасталады).

/ip firewall address-list
  add address=127.0.0.0/8 comment="defconf: RFC6890" list=bad_ipv4
  add address=192.0.0.0/24 comment="defconf: RFC6890" list=bad_ipv4
  add address=192.0.2.0/24 comment="defconf: RFC6890 documentation" list=bad_ipv4
  add address=198.51.100.0/24 comment="defconf: RFC6890 documentation" list=bad_ipv4
  add address=203.0.113.0/24 comment="defconf: RFC6890 documentation" list=bad_ipv4
  add address=240.0.0.0/4 comment="defconf: RFC6890 reserved" list=bad_ipv4

Тағы бір мекенжай тізімінде жаһандық маршруттауға болмайтын барлық IPv4 мекенжайлары бар.

/ip firewall address-list
  add address=0.0.0.0/8 comment="defconf: RFC6890" list=not_global_ipv4
  add address=10.0.0.0/8 comment="defconf: RFC6890" list=not_global_ipv4
  add address=100.64.0.0/10 comment="defconf: RFC6890" list=not_global_ipv4
  add address=169.254.0.0/16 comment="defconf: RFC6890" list=not_global_ipv4
  add address=172.16.0.0/12 comment="defconf: RFC6890" list=not_global_ipv4
  add address=192.0.0.0/29 comment="defconf: RFC6890" list=not_global_ipv4
  add address=192.168.0.0/16 comment="defconf: RFC6890" list=not_global_ipv4
  add address=198.18.0.0/15 comment="defconf: RFC6890 benchmark" list=not_global_ipv4
  add address=255.255.255.255/32 comment="defconf: RFC6890" list=not_global_ipv4

Және соңғы екі мекенжай тізімі бағыт немесе бастапқы мекенжай ретінде қолданылмайтын мекенжайлар үшін.

/ip firewall address-list
  add address=224.0.0.0/4 comment="defconf: multicast" list=bad_src_ipv4
  add address=255.255.255.255/32 comment="defconf: RFC6890" list=bad_src_ipv4
add address=0.0.0.0/8 comment="defconf: RFC6890" list=bad_dst_ipv4
  add address=224.0.0.0/4 comment="defconf: RFC6890" list=bad_dst_ipv4

IPv4 RAW ережелері (IPv4 RAW Rules)

RAW IPv4 ережелері келесі әрекеттерді орындайды:

• өшірілген "accept" ережесін қосу - барлық RAW ережелерін өшірмей, RAW сүзуді жылдам өшіру үшін қолданылуы мүмкін;
• DHCP discovery қабылдау - DHCP пакеттерінің көпшілігі IP брандмауэрімен көрінбейді, бірақ олардың кейбіреулері көрінеді, сондықтан олардың қабылданғанына көз жеткізіңіз;
• bogon IP-лерін қолданатын пакеттерді тастау;
• жарамсыз SRC және DST IP-лерінен тастау;
• WAN-нан келетін жаһандық маршруттауға болмайтын IP-лерді тастау;
• LAN-нан келетін, 192.168.88.0/24-ке (әдепкі IP диапазоны) тең емес бастапқы мекенжайы бар пакеттерді тастау;
• WAN-нан 192.168.88.0/24 желісіне бағытталуы керек пакеттерді тастау, бұл шабуылдаушы ішкі желіні білсе, шабуылдардан қорғайды;
• жаман ICMP, UDP және TCP тастау;
• WAN және LAN-дан келетін басқасының бәрін қабылдау;
• басқасының бәрін тастау, кез келген жаңадан қосылған интерфейстің (мысалы, қызмет провайдеріне PPPoE қосылымы) кездейсоқ қате конфигурациядан қорғалғанына көз жеткізу.

/ip firewall raw
add action=accept chain=prerouting comment="defconf: enable for transparent firewall" disabled=yes
add action=accept chain=prerouting comment="defconf: accept DHCP discover" 
dst-address=255.255.255.255 dst-port=67 
in-interface-list=LAN protocol=udp src-address=0.0.0.0 src-port=68
add action=drop chain=prerouting comment="defconf: drop bogon IP's" src-address-list=bad_ipv4
add action=drop chain=prerouting comment="defconf: drop bogon IP's" dst-address-list=bad_ipv4
add action=drop chain=prerouting comment="defconf: drop bogon IP's" src-address-list=bad_src_ipv4
add action=drop chain=prerouting comment="defconf: drop bogon IP's" dst-address-list=bad_dst_ipv4
add action=drop chain=prerouting comment="defconf: drop non global from WAN"
src-address-list=not_global_ipv4 in-interface-list=WAN
add action=drop chain=prerouting comment="defconf: drop forward to local lan from WAN"
in-interface-list=WAN dst-address=192.168.88.0/24
add action=drop chain=prerouting comment="defconf: drop local if not from default IP range"
in-interface-list=LAN src-address=!192.168.88.0/24
add action=drop chain=prerouting comment="defconf: drop bad UDP" port=0 protocol=udp
add action=jump chain=prerouting comment="defconf: jump to ICMP chain" jump-target=icmp4 protocol=icmp
add action=jump chain=prerouting comment="defconf: jump to TCP chain" jump-target=bad_tcp protocol=tcp
add action=accept chain=prerouting comment="defconf: accept everything else from LAN" in-interface-list=LAN
add action=accept chain=prerouting comment="defconf: accept everything else from WAN" in-interface-list=WAN
add action=drop chain=prerouting comment="defconf: drop the rest"

Біз кейбір қосымша тізбектерді қолданғанымызды ескеріңіз, бірінші TCP тізбегі жарамсыз (invalid) деп танылған TCP пакеттерін тастау үшін.

/ip firewall raw
add action=drop chain=bad_tcp comment="defconf: TCP flag filter" protocol=tcp tcp-flags=!fin,!syn,!rst,!ack
add action=drop chain=bad_tcp comment=defconf protocol=tcp tcp-flags=fin,syn
add action=drop chain=bad_tcp comment=defconf protocol=tcp tcp-flags=fin,rst
add action=drop chain=bad_tcp comment=defconf protocol=tcp tcp-flags=fin,!ack
add action=drop chain=bad_tcp comment=defconf protocol=tcp tcp-flags=fin,urg
add action=drop chain=bad_tcp comment=defconf protocol=tcp tcp-flags=syn,rst
add action=drop chain=bad_tcp comment=defconf protocol=tcp tcp-flags=rst,urg
add action=drop chain=bad_tcp comment="defconf: TCP port 0 drop" port=0 protocol=tcp

Және ICMP үшін тағы бір тізбек. Егер сіз өте қатаң брандмауэрді қаласаңыз, онда мұндай қатаң ICMP сүзуді қолдануға болады, бірақ көп жағдайда бұл қажет емес және маршрутизатордың CPU-на қосымша жүктеме қосады. ICMP жылдамдығын шектеу көп жағдайда қажет емес, себебі Linux ядросы ICMP пакеттерін 100pps дейін шектеп отыр.

/ip firewall raw
add action=accept chain=icmp4 comment="defconf: echo reply" icmp-options=0:0 limit=5,10:packet protocol=icmp
add action=accept chain=icmp4 comment="defconf: net unreachable" icmp-options=3:0 protocol=icmp
add action=accept chain=icmp4 comment="defconf: host unreachable" icmp-options=3:1 protocol=icmp
add action=accept chain=icmp4 comment="defconf: protocol unreachable" icmp-options=3:2 protocol=icmp
add action=accept chain=icmp4 comment="defconf: port unreachable" icmp-options=3:3 protocol=icmp
add action=accept chain=icmp4 comment="defconf: fragmentation needed" icmp-options=3:4 protocol=icmp
add action=accept chain=icmp4 comment="defconf: echo" icmp-options=8:0 limit=5,10:packet protocol=icmp
add action=accept chain=icmp4 comment="defconf: time exceeded " icmp-options=11:0-255 protocol=icmp
add action=drop chain=icmp4 comment="defconf: drop other icmp" protocol=icmp

Портты қағу (Port knocking)

Барлық қолжетімді жалпыға ортақ IP мекенжайлары боттар мен shodan.io сияқты қызметтер арқылы тұрақты түрде портты сканерлеуге ұшырайды және кез келген адам бұл ақпаратты brute-force шабуылдарын орындау және кез келген белгілі эксплойттерді іске қосу үшін пайдалана алады. Портты қағу (Port knocking) ешқандай порттарды ашпай және қосылу әрекеттерін тыңдау арқылы бұған қарсы тұрудың үнемді жолы болып табылады - егер портқа қосылу әрекеттерінің дұрыс реттілігі орындалса, клиент қауіпсіз болып саналады және WAN брандмауэр ережелерін айналып өтетін қауіпсіз мекенжайлар тізіміне қосылады.

Орнату мысалы (Setup example)

Сізде WAN портынан барлық қосылу әрекеттерін тастайтын брандмауэр бұрыннан орнатылған деп болжаймыз, сондықтан оған дейін қосымша ережелер қосу қажет болады.

Бірінші, берілген портты тыңдайтын және қосылған бастапқы IP мекенжайын мекенжай тізіміне қосатын брандмауэр ережесін жасаңыз - бұл бірінші қағу (first knock).

/ip/firewall/filter add action=add-src-to-address-list address-list=888
              address-list-timeout=30s chain=input dst-port=888 in-interface-list=WAN protocol=tcp

Содан кейін басқа портта дәл солай істейтін, бірақ тек бірінші тізімдегі IP мекенжайларын мақұлдайтын ережені қосыңыз. Бұл қадамды қалағаныңызша қайталай аласыз.

/ip/firewall/filter add action=add-src-to-address-list address-list=555
              address-list-timeout=30s chain=input dst-port=555 in-interface-list=WAN protocol=tcp
              src-address-list=888

Соңында, соңғы қағу сенімді IP тізіміне қосылады және кез келген кіріс қабылданады.

/ip/firewall/filter add action=add-src-to-address-list address-list=secured
              address-list-timeout=30m chain=input dst-port=222 in-interface-list=WAN protocol=tcp
              src-address-list=555
        /ip/firewall/filter add action=accept chain=input in-interface-list=WAN src-address-list=secured

Кіру үшін қағу (Knock to gain access)

WAN-нан тақтаға кіру үшін портты қағу клиентін қолдануға болады, бірақ nmap бар қарапайым bash бір жолдық командасы жұмысты орындай алады.

 for x in 888,555,222; do nmap -p $x -Pn xx.xx.xx.xx; done

IP брандмауэр mangle

Бұл ереже "ауыр" қосылымдардың "ауыр" болып қалуын қамтамасыз етеді және басқа қосылымдарды әдепкі қосылым белгісімен белгілейді:

/ip firewall mangle
add chain=forward action=mark-connection connection-mark=!heavy_traffic_conn new-connection-mark=all_conn

Бұл екі ереже біздің стандарттарымызға негізделген барлық ауыр қосылымдарды белгілейді, яғни алғашқы 500кБ-тан кейін де 200kbps-тан астам жылдамдығы бар кез келген қосылымды "ауыр" деп санауға болады:

add chain=forward action=mark-connection connection-bytes=500000-0 \
        connection-mark=all_conn connection-rate=200k-100M 
        new-connection-mark=heavy_traffic_conn protocol=tcp
add chain=forward action=mark-connection connection-bytes=500000-0 \
    connection-mark=all_conn connection-rate=200k-100M new-connection-mark=heavy_traffic_conn protocol=udp

Mangle-дегі соңғы екі ереже сәйкес қосылымдардан барлық трафикті белгілейді:

add chain=forward action=mark-packet
       connection-mark=heavy_traffic_conn new-packet-mark=heavy_traffic passthrough=no
add chain=forward action=mark-packet connection-mark=all_conn 
new-packet-mark=other_traffic passthrough=no

Кезек (Queue)

Бұл Interface HTB-ге орналастырылған қарапайым кезек ағашы (queue tree) - "public" - сіздің ISP қосылған интерфейс, ал "local" - сіздің клиенттеріңіз орналасқан жер. Егер сізде 1-ден астам "public" немесе 1-ден астам "local" болса, онда сіз жүктеу мен жүктеуді бөлек mangle жасап, кезек ағашын global-out-қа орналастыруыңыз керек:

/queue tree
add name=upload parent=public max-limit=6M
add name=other_upload parent=upload limit-at=4M max-limit=6M packet-mark=other_traffic priority=1
add name=heavy_upload parent=upload limit-at=2M max-limit=6M packet-mark=heavy_traffic priority=8
add name=download parent=local max-limit=6M
add name=other_download parent=download limit-at=4M max-limit=6M packet-mark=other_traffic priority=1
add name=heavy_download parent=download limit-at=2M max-limit=6M packet-mark=heavy_traffic priority=8

Bruteforce шабуылынан қорғау (Bruteforce prevention)

Мұнда SSH портына жасалатын bruteforce шабуылдарынан қалай қорғануға болатынының мысалы көрсетілген. SSH қосылымға 3 рет кіру әрекетіне рұқсат беретінін және сәтті кірген кезде мекенжай тізімдері тазартылмайтынын ескеріңіз, сондықтан өзіңізді кездейсоқ қара тізімге (blacklist) қосып алуыңыз мүмкін.

/ip firewall filter
add action=add-src-to-address-list address-list=bruteforce_blacklist address-list-timeout=1d
 chain=input comment=Blacklist connection-state=new dst-port=22 protocol=tcp
 src-address-list=connection3
add action=add-src-to-address-list address-list=connection3 address-list-timeout=1h chain=input
 comment="Үшінші әрекет (Third attempt)" connection-state=new dst-port=22 protocol=tcp
  src-address-list=connection2
add action=add-src-to-address-list address-list=connection2 address-list-timeout=15m chain=input
 comment="Екінші әрекет (Second attempt)" connection-state=new dst-port=22 protocol=tcp
  src-address-list=connection1
add action=add-src-to-address-list address-list=connection1 address-list-timeout=5m chain=input
 comment="Бірінші әрекет (First attempt)" connection-state=new dst-port=22 protocol=tcp
add action=accept chain=input dst-port=22 protocol=tcp src-address-list=!bruteforce_blacklist

Егер барлық үш тізімнің - connection1/2/3 - уақыт шектеулері (timeouts) 1 минутта сақталса, онда біреу әр минут сайын 9 рет болжау жасай алар еді, ал жоғарыдағы құрылыммен олар 5 минут сайын ең көп дегенде 3 рет болжау жасай алады.

Мекенжай тізімінің атауы «Портты қағу (Port knocking)» мақаласының атауына сәйкес келеді. Ұқсас атау схемасы қолданылады, сенімді мекенжай тізімі "secured" деп аталады.