Mikrotik: блокируем частные сети согласно RFC 6890
Курс «Настройка оборудования MikroTik»
Освоить MikroTik вы можете с помощью онлайн-курса «Настройка оборудования MikroTik». В курсе изучаются все темы из официальной программы MTCNA. Автор – официальный тренер MikroTik. Материал подходит и тем, кто уже давно работает с оборудованием MikroTik, и тем, кто еще не держал его в руках. В состав входят 162 видеоурока, 45 лабораторных работ, вопросы для самопроверки и конспект.RFC 6890: https://tools.ietf.org/html/rfc6890
Предупреждение
Не стоит блокировать все подряд, необходимо понимать что ты делаешь!IPv4
Список подсетей:
/ip firewall address-list add address=127.0.0.0/8 comment="RFC 6890 Loopback" list=PrivateNetIPv4 add address=192.168.0.0/16 comment="RFC 6890 Private-Use" list=PrivateNetIPv4 add address=172.16.0.0/12 comment="RFC 6890 Private-Use" list=PrivateNetIPv4 add address=10.0.0.0/8 comment="RFC 6890 Private-Use" list=PrivateNetIPv4 add address=0.0.0.0/8 comment="RFC 6890 This host on this network" list=PrivateNetIPv4 add address=100.64.0.0/10 comment="RFC 6890 Shared Address Space" list=PrivateNetIPv4 add address=169.254.0.0/16 comment="RFC 6890 Link Local" list=PrivateNetIPv4 add address=192.0.0.0/24 comment="RFC 6890 IETF Protocol Assignments" list=PrivateNetIPv4 add address=192.0.0.0/29 comment="RFC 6890 DS-Lite" list=PrivateNetIPv4 add address=198.18.0.0/15 comment="RFC 6890 Benchmarking" list=PrivateNetIPv4 add address=198.51.100.0/24 comment="RFC 6890 Documentation (TEST-NET-2)" list=PrivateNetIPv4 add address=203.0.113.0/24 comment="RFC 6890 Documentation (TEST-NET-3)" list=PrivateNetIPv4 add address=224.0.0.0/4 comment="RFC 6890 Multicast" list=PrivateNetIPv4 add address=240.0.0.0/4 comment="RFC 6890 Reserved" list=PrivateNetIPv4
Блокировка (выбрать нужное):
/ip firewall filter add chain=input action=drop src-address-list=PrivateNetIPv4 in-interface=ISP1 log=no log-prefix="PrivateNetIPv4" comment="PrivateNetIPv4" add chain=forward action=drop src-address-list=PrivateNetIPv4 in-interface=ISP1 log=no log-prefix="PrivateNetIPv4" comment="PrivateNetIPv4" add chain=output action=drop src-address-list=PrivateNetIPv4 out-interface=ISP1 log=no log-prefix="PrivateNetIPv4" comment="PrivateNetIPv4"
IPv6
Список:
/ipv6 firewall address-list add address=::1/128 comment="RFC 6890 Loopback Address" list=PrivateNetIPv6 add address=::/128 comment="RFC 6890 Unspecified Address" list=PrivateNetIPv6 add address=64:ff9b::/96 comment="RFC 6890 IPv4-IPv6 Translat." list=PrivateNetIPv6 add address=::ffff:0.0.0.0/96 comment="RFC 6890 IPv4-mapped Address" list=PrivateNetIPv6 add address=100::/64 comment="RFC 6890 Discard-Only Address Block" list=PrivateNetIPv6 add address=2001::/23 comment="RFC 6890 IETF Protocol Assignments" list=PrivateNetIPv6 add address=2001::/32 comment="RFC 6890 TEREDO" list=PrivateNetIPv6 add address=2001:2::/48 comment="RFC 6890 Benchmarking" list=PrivateNetIPv6 add address=2001:db8::/32 comment="RFC 6890 Documentation" list=PrivateNetIPv6 add address=2001:10::/28 comment="RFC 6890 ORCHID" list=PrivateNetIPv6 add address=2002::/16 comment="RFC 6890 6to4" list=PrivateNetIPv6 add address=fc00::/7 comment="RFC 6890 Unique-Local" list=PrivateNetIPv6 add address=fe80::/10 comment="RFC 6890 Linked-Scoped Unicast" list=PrivateNetIPv6
Блокировка (выбрать нужное):
add chain=input action=drop src-address-list=NonPublicIPv6 in-interface=ISP1 log=no log-prefix="NonPublic IPv6" comment="PrivateNetIPv6" add chain=output action=drop src-address-list=NonPublicIPv6 out-interface=ISP1 log=no log-prefix="NonPublic IPv6" comment="PrivateNetIPv6" add chain=forward action=drop src-address-list=NonPublicIPv6 in-interface=ISP1 log=no log-prefix="NonPublic IPv6" comment="PrivateNetIPv6"
127.0.0.1