Os parece excesivo (obsesivo...) mi firewall/filter?

sfloresa dijo:

Si algo he aprendido en este foro es que por WAN no se debe acceder al router en ningún caso por motivos de seguridad. Para poder hacerlo, yo lo que hago es entrar por VPN (wireguard) a la LAN y ya desde allí acceder al router.

Haz clic para expandir...

Juhn_Hoo dijo:

Buenas noches,

En cualquier caso sea por VPN o como sea hay que añadir reglas en el /ip firewall filter... esas reglas por ejemplo para el tema de VPN vía IPSEC/L2TP son reglas de tipo input (17.-.udp, 50.-.ipsec-esp,51.-.ipsec-ah puertos 500,1701,4500) pero al tener esta regla activada que es muy importante:

add action=drop chain=input comment="defconf: drop all not coming from LAN" \ in-interface-list=!LAN

dejo de tener acceso... como se supone que se hace sin deshabilitarla?

Cordialmente,

Juhn_Hoo

Haz clic para expandir...

Juhn_Hoo dijo:

Buenas noches,

En cualquier caso sea por VPN o como sea hay que añadir reglas en el /ip firewall filter... esas reglas por ejemplo para el tema de VPN vía IPSEC/L2TP son reglas de tipo input (17.-.udp, 50.-.ipsec-esp,51.-.ipsec-ah puertos 500,1701,4500) pero al tener esta regla activada que es muy importante:

add action=drop chain=input comment="defconf: drop all not coming from LAN" \ in-interface-list=!LAN

dejo de tener acceso... como se supone que se hace sin deshabilitarla?

Cordialmente,

Juhn_Hoo

Haz clic para expandir...

/ip firewall filter add action=accept chain=input comment="vpn: allow wireguard-rw" dst-port=12345 protocol=udp place-before [find comment="defconf: drop all not coming from LAN"]

sfloresa dijo:

De la siguiente forma puedes poner una regla accept justo antes de esa, que no debes tocar (en el ejemplo, abro el puerto udp 12345 para wireguard):

Código:

/ip firewall filter add action=accept chain=input comment="vpn: allow wireguard-rw" dst-port=12345 protocol=udp place-before [find comment="defconf: drop all not coming from LAN"]

Haz clic para expandir...

Canariote82 dijo:

yo en mi caso tengo abierto el puerto winbox , pero le tengo puesto que solo mi dominio puede entrar.

Haz clic para expandir...