Thread: [Share] Firewall Filter maknyos yang saya pakai

Originally Posted by adh1et

Berikut ini adalah hasil dari beberapa threat dan pengembangan saya sendiri, semoga membantu temen" di sini untuk melindungi mikrotik...

pertama" buat dulu address list dengan nama local-addr, di sini masukin list ip yang boleh mengakses mikrotik..

kemudian :

Code:

/ip firewall filter
add action=reject chain=input disabled=yes protocol=icmp reject-with=\
    icmp-network-unreachable
add action=drop chain=forward comment="Filter - Traceroute" disabled=yes \
    icmp-options=11:0 protocol=icmp
add action=drop chain=forward disabled=yes icmp-options=3:3 protocol=icmp
add action=add-src-to-address-list address-list=WARN-FTP \
    address-list-timeout=4w2d chain=input comment="Filter - Wan Access FTP" \
    disabled=no dst-port=21 protocol=tcp src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-FTP
add action=accept chain=input disabled=no dst-port=21 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-SSH \
    address-list-timeout=4w2d chain=input comment="Filter - Wan Access SSH" \
    disabled=no dst-port=22 protocol=tcp src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-SSH
add action=accept chain=input disabled=no dst-port=22 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-TELNET \
    address-list-timeout=4w2d chain=input comment=\
    "Filter - Wan Access TELNET" disabled=no dst-port=23 protocol=tcp \
    src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-TELNET
add action=accept chain=input disabled=no dst-port=23 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-WEB \
    address-list-timeout=4w2d chain=input comment="Filter - Wan Access WEB" \
    disabled=no dst-port=80 protocol=tcp src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-WEB
add action=accept chain=input disabled=no dst-port=80 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-WINBOX \
    address-list-timeout=4w2d chain=input comment=\
    "Filter - Wan Access WINBOX" disabled=no dst-port=8291 protocol=tcp \
    src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-WINBOX
add action=accept chain=input disabled=no dst-port=8291 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list="Filter - Port Scanners" \
    address-list-timeout=2w chain=input comment="Filter - Port Scanners" \
    disabled=no protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,syn
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    syn,rst
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    !fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input disabled=no src-address-list="port scanners"
add action=accept chain=forward comment=Connections connection-state=\
    established disabled=no
add action=accept chain=forward connection-state=related disabled=no
add action=drop chain=forward connection-state=invalid disabled=no

print screen :


fungsi :
3 : menambahkan ke address list IP yang mencoba masuk lewat port 21 dengan nama WARN-FTP selama waktu yang di tentukan
4 : drop semua ip yang src address list nya adalah WARN-FTP
5 : terima semua ip sesuai address list yang di tentukan (local-addr)

6 : menambahkan ke address list IP yang mencoba masuk lewat port 22 dengan nama WARN-SSH selama waktu yang di tentukan
7 : drop semua ip yang src address list nya adalah WARN-SSH
8 : terima semua ip sesuai address list yang di tentukan (local-addr)

9 : menambahkan ke address list IP yang mencoba masuk lewat port 23 dengan nama WARN-TELNET selama waktu yang di tentukan
10 : drop semua ip yang src address list nya adalah WARN-TELNET
11 : terima semua ip sesuai address list yang di tentukan (local-addr)

12 : menambahkan ke address list IP yang mencoba masuk lewat port 80 dengan nama WARN-WEB selama waktu yang di tentukan
13 : drop semua ip yang src address list nya adalah WARN-WEB
14 : terima semua ip sesuai address list yang di tentukan (local-addr)

12 : menambahkan ke address list IP yang mencoba masuk lewat port 8291 dengan nama WARN-WINBOX selama waktu yang di tentukan
13 : drop semua ip yang src address list nya adalah WARN-WINBOX
14 : terima semua ip sesuai address list yang di tentukan (local-addr)

keuntungan :
anda dapat melihat list IP yang tersaring / mencoba masuk ke router anda pada bagian address-list dengan nama WARN-FTP / WARN-SSH / WARN-TELNET / WARN-WEB / WARN-WINBOX.
siapa tau mau serang balik

anda bisa menambahkan sendiri / memodifikasi sesuai keperluan.
di sini saya hanya "memainkan" address list dan port yang ingin di filter.

jika berguna, klik thanks
NB : Sorry, itu hasil print screen salah di bagian telnet, tertulis port 22, harusnya 23

Dicoba dulu gan ...
Terima kasih

----------------------------------------------------------------------

GRC Port Authority Report created on UTC: 2012-03-09 at 17:40:05

Results from scan of ports: 0-1055

0 Ports Open
0 Ports Closed
1056 Ports Stealth
---------------------
1056 Ports Tested

ALL PORTS tested were found to be: STEALTH.

TruStealth: PASSED - ALL tested ports were STEALTH,
- NO unsolicited packets were received,
- NO Ping reply (ICMP Echo) was received.

----------------------------------------------------------------------

makasih gan..ini hasilnya

Izin Coba .. mas Gan .

setelah dipasang Winbox konek ip tidak bisa dibuka, kalau pake mac bisa. tidak bisa akses userman... kenapa ya?

@atas whitelist nya di perhatikan gan, salah isi bisa ke blok sendiri

nubie boleh nanya gan..?

ini buat ngeblok dari luar atau dari dalam jaringan kita....??
kalo dari dalam.. ya pasti kita bisa ngisi daftar "white_list" nya..
klo dari luar gmn..?? mungkin saja suatu saat kita lg butuh remot MT dari luar..??

maap klo pertanyaan nya oon... maklum msh baru blajar megang MT..

thanks...

kereeen.... dah di coba ndiri dan hasilnya -------> mank maknyosss
WARN-WEB listnya ampe 200an lebih yg ke filter, buset dah , pantes bbrpa hari ne lemot koneksi
thx

Originally Posted by adh1et

Berikut ini adalah hasil dari beberapa threat dan pengembangan saya sendiri, semoga membantu temen" di sini untuk melindungi mikrotik...

pertama" buat dulu address list dengan nama local-addr, di sini masukin list ip yang boleh mengakses mikrotik..

kemudian :

Code:

/ip firewall filter
add action=reject chain=input disabled=yes protocol=icmp reject-with=\
    icmp-network-unreachable
add action=drop chain=forward comment="Filter - Traceroute" disabled=yes \
    icmp-options=11:0 protocol=icmp
add action=drop chain=forward disabled=yes icmp-options=3:3 protocol=icmp
add action=add-src-to-address-list address-list=WARN-FTP \
    address-list-timeout=4w2d chain=input comment="Filter - Wan Access FTP" \
    disabled=no dst-port=21 protocol=tcp src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-FTP
add action=accept chain=input disabled=no dst-port=21 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-SSH \
    address-list-timeout=4w2d chain=input comment="Filter - Wan Access SSH" \
    disabled=no dst-port=22 protocol=tcp src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-SSH
add action=accept chain=input disabled=no dst-port=22 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-TELNET \
    address-list-timeout=4w2d chain=input comment=\
    "Filter - Wan Access TELNET" disabled=no dst-port=23 protocol=tcp \
    src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-TELNET
add action=accept chain=input disabled=no dst-port=23 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-WEB \
    address-list-timeout=4w2d chain=input comment="Filter - Wan Access WEB" \
    disabled=no dst-port=80 protocol=tcp src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-WEB
add action=accept chain=input disabled=no dst-port=80 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list=WARN-WINBOX \
    address-list-timeout=4w2d chain=input comment=\
    "Filter - Wan Access WINBOX" disabled=no dst-port=8291 protocol=tcp \
    src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-WINBOX
add action=accept chain=input disabled=no dst-port=8291 protocol=tcp \
    src-address-list=local-addr
add action=add-src-to-address-list address-list="Filter - Port Scanners" \
    address-list-timeout=2w chain=input comment="Filter - Port Scanners" \
    disabled=no protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,syn
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    syn,rst
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" \
    address-list-timeout=2w chain=input disabled=no protocol=tcp tcp-flags=\
    !fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain=input disabled=no src-address-list="port scanners"
add action=accept chain=forward comment=Connections connection-state=\
    established disabled=no
add action=accept chain=forward connection-state=related disabled=no
add action=drop chain=forward connection-state=invalid disabled=no

print screen :


fungsi :
3 : menambahkan ke address list IP yang mencoba masuk lewat port 21 dengan nama WARN-FTP selama waktu yang di tentukan
4 : drop semua ip yang src address list nya adalah WARN-FTP
5 : terima semua ip sesuai address list yang di tentukan (local-addr)

6 : menambahkan ke address list IP yang mencoba masuk lewat port 22 dengan nama WARN-SSH selama waktu yang di tentukan
7 : drop semua ip yang src address list nya adalah WARN-SSH
8 : terima semua ip sesuai address list yang di tentukan (local-addr)

9 : menambahkan ke address list IP yang mencoba masuk lewat port 23 dengan nama WARN-TELNET selama waktu yang di tentukan
10 : drop semua ip yang src address list nya adalah WARN-TELNET
11 : terima semua ip sesuai address list yang di tentukan (local-addr)

12 : menambahkan ke address list IP yang mencoba masuk lewat port 80 dengan nama WARN-WEB selama waktu yang di tentukan
13 : drop semua ip yang src address list nya adalah WARN-WEB
14 : terima semua ip sesuai address list yang di tentukan (local-addr)

12 : menambahkan ke address list IP yang mencoba masuk lewat port 8291 dengan nama WARN-WINBOX selama waktu yang di tentukan
13 : drop semua ip yang src address list nya adalah WARN-WINBOX
14 : terima semua ip sesuai address list yang di tentukan (local-addr)

keuntungan :
anda dapat melihat list IP yang tersaring / mencoba masuk ke router anda pada bagian address-list dengan nama WARN-FTP / WARN-SSH / WARN-TELNET / WARN-WEB / WARN-WINBOX.
siapa tau mau serang balik

anda bisa menambahkan sendiri / memodifikasi sesuai keperluan.
di sini saya hanya "memainkan" address list dan port yang ingin di filter.

jika berguna, klik thanks
NB : Sorry, itu hasil print screen salah di bagian telnet, tertulis port 22, harusnya 23

Thank gan,.. izin salin dulu ke notepad

Originally Posted by R80

kereeen.... dah di coba ndiri dan hasilnya -------> mank maknyosss
WARN-WEB listnya ampe 200an lebih yg ke filter, buset dah , pantes bbrpa hari ne lemot koneksi
thx

di kembangkan aja lg gan

Originally Posted by anak_lolong

add action=add-src-to-address-list address-list=WARN-WEB \
address-list-timeout=4w2d chain=input comment="Filter - Wan Access WEB" \
disabled=no dst-port=80 protocol=tcp src-address-list=!local-addr
add action=drop chain=input disabled=no src-address-list=WARN-WEB
add action=accept chain=input disabled=no dst-port=80 protocol=tcp \
src-address-list=local-addr

cuplikan rule di atas jika diterapkan ke hotspot MT artinya semua klien dengan IP dinamik kita harus terdaftar di list "local-addr" , jika tidak mereka tidak bisa OL karena tidak bisa akses port 80 kan? terus apa gunanya rule itu agan?
mungkin analisa saya kementhus ..... maafin....

lihat di ip service mikrotik. mikrotik tersebut melalui port apa untuk buka mikrotik melalui web. matikan aja port tersebut. jangan hnya copas aja gan,tapi pelajari juga rule2nya biar bisa nambah ilmu.

Originally Posted by play052

nubie boleh nanya gan..?

ini buat ngeblok dari luar atau dari dalam jaringan kita....??
kalo dari dalam.. ya pasti kita bisa ngisi daftar "white_list" nya..
klo dari luar gmn..?? mungkin saja suatu saat kita lg butuh remot MT dari luar..??


maap klo pertanyaan nya oon... maklum msh baru blajar megang MT..

thanks...

klu masalah seperti itu berarti gan harus masukkin ip publik untuk meremote.

agan ada tutor lengkap g tentang firewall cz ane bwt referensi SKRIPSI nh,di mohon bntuannya gan

Mohon Ijin Sedot gan Tutsnya, terimakasih yo gan......

Izin nyimak dl gan...

Mantep gan.. ane coba..
tapi mo tanya dulu ni gan, klo block virusnya dimna y gan..?? maaf gan ane newbie