Базовая настройка firewall MikroTik в 2026 году

Firewall MikroTik — это встроенный межсетевой экран в операционной системе RouterOS, который позволяет контролировать входящий и исходящий трафик на вашем личном VPS или маршрутизаторе. Он нужен администраторам и продвинутым пользователям для защиты сервера от нежелательных подключений, ограничения доступа по портам и IP, а также для логирования сетевой активности. Если вы используете личный VPS SANSARA, базовую конфигурацию firewall можно выполнить через веб-интерфейс RouterOS или WinBox без прямого доступа к терминалу.

Коротко:

• Firewall MikroTik — это набор правил фильтрации трафика в RouterOS на основе адресов, портов и протоколов.
• Основные задачи: блокировка лишних портов, ограничение доступа извне, защита управляющих интерфейсов, логирование подозрительных событий.
• Начать с SANSARA: зарегистрируйтесь, получите данные личного VPS, импортируйте конфигурацию в клиентское ПО и проверьте подключение.
• Поддерживаемые устройства: iPhone, Android, Windows, macOS.
• Минимальный набор правил: разрешить только нужные порты, запретить всё остальное, включить защиту от сканирования.
• Диагностика: проверка статуса правил, логи firewall, тестирование доступности сервисов.

Что это такое и зачем нужно

Firewall в MikroTik RouterOS — это подсистема фильтрации пакетов, работающая на уровне сетевого стека. Она анализирует трафик по полям IP-заголовков (адреса, порты, протоколы) и решает, пропустить пакет, отбросить его или перенаправить. Правила объединяются в цепочки (chains): input (для входящего трафика на сам роутер), forward (для транзитного трафика между интерфейсами) и output (для исходящего от роутера).

Основные цели настройки firewall:

• Безопасность управляющих интерфейсов: закрыть или ограничить доступ к веб-конфигуратору, SSH, WinBox из внешних сетей.
• Ограничение доступа к сервисам: разрешить подключения только к нужным портам (например, веб-сервер, почта), остальное заблокировать.
• Защита от сканирования и атак: отсечь массовые подключения с подозрительных IP, ограничить запросы по частоте.
• Логирование: записывать в лог отклонённые или подозрительные пакеты для последующего анализа.

На личном VPS SANSARA firewall позволяет дополнительно защитить ваш выделенный узел от неавторизованных подключений, даже если сам хостинг предоставляет базовую сетевую изоляцию.

Как настроить с SANSARA (пошагово)

Регистрация и получение личного VPS

1. 01Регистрация в SANSARA.

Создайте учётную запись на платформе SANSARA. После подтверждения данных вам станет доступен личный кабинет.

1. 01Активация личного VPS.

В кабинете выберите подходящую локацию из доступных узлов (более 9 стран, включая европейские регионы). Активируйте VPS — система автоматически развернёт виртуальный сервер с предустановленной ОС и базовой сетевой конфигурацией.

1. 01Получение данных для доступа.

После запуска VPS в кабинете появятся:

• IP-адрес сервера,
• логин и пароль для RouterOS (если используется MikroTik),
• данные для импорта в клиентское ПО (конфигурационный файл или параметры подключения).

Настройка базового firewall в RouterOS

Для примера рассмотрим типовую конфигурацию firewall на MikroTik RouterOS через WinBox или веб-интерфейс. Предполагается, что у вас уже есть доступ к роутеру/VPS.

1. 01Подключитесь к RouterOS.

Используйте WinBox (Windows) или веб-интерфейс (браузер) для входа на ваш личный VPS. Введите IP-адрес, логин и пароль.

1. 01Перейдите в раздел Firewall.

В меню выберите IP → Firewall. Здесь находятся вкладки Filter Rules, NAT, Mangle и другие. Для базовой настройки достаточно Filter Rules.

1. 01Настройте цепочку input (доступ к самому роутеру).

Создайте правило, которое:

• цепочка: input,
• протокол: tcp,
• dst port: 8291 (WinBox), 22 (SSH), 80/443 (веб-конфигуратор),
• действие: accept.

Затем добавьте правило в конец:

• цепочка: input,
• протокол: любой,
• действие: drop.

Это разрешит управление только по указанным портам, а весь остальной входящий трафик на роутер будет заблокирован.

1. 01Настройте цепочку forward (транзитный трафик).

Если на VPS работают сервисы (веб, почта и т.п.), создайте правила для них:

• цепочка: forward,
• протокол: tcp,
• dst port: 80, 443 (веб),
• действие: accept.

Затем правило:

• цепочка: forward,
• действие: drop.

Это позволит проходить только трафику на нужные порты, остальное будет отсекаться.

1. 01Включите защиту от сканирования (опционально).

В разделе IP → Firewall → Connection Tracking можно настроить параметры отслеживания соединений. Для простоты используйте встроенные настройки по умолчанию или добавьте правило, которое сбрасывает соединения при превышении лимита запросов с одного IP.

1. 01Сохраните конфигурацию.

Нажмите Apply или OK для сохранения правил. Рекомендуется также выполнить Export конфигурации и сохранить её локально — это поможет быстро восстановить настройки при необходимости.

Импорт конфигурации в клиент и проверка

1. 01Импорт в клиентское ПО.

В зависимости от используемого клиента (например, на iPhone, Android, Windows или macOS) импортируйте конфигурационный файл или введите параметры подключения, полученные из кабинета SANSARA. Обычно это делается через функцию Import или добавление нового профиля.

1. 01Проверка подключения.

Запустите подключение через клиент. Убедитесь, что:

• статус показывает активное соединение,
• вы можете обращаться к сервисам на вашем личном VPS (если они настроены),
• внешние ресурсы доступны через защищённый канал.

1. 01Проверка работы firewall.

Попробуйте подключиться к закрытым портам (например, к порту, который вы явно запретили). Должна быть ошибка таймаута или отказ. Одновременно проверьте доступность разрешённых портов — они должны работать.

Telegram-бот SANSARA может уведомлять о статусе вашего VPS и основных событиях, что упрощает мониторинг без постоянного входа в кабинет.

Устройства: iPhone, Android, Windows, macOS

На всех платформах важно:

• использовать только официальные или проверенные клиенты,
• импортировать конфигурацию из доверенного источника (ваш кабинет SANSARA),
• проверять, что клиент корректно работает с вашим личным VPS и не конфликтует с другими сетевыми настройками.

Практический чек-лист на 7–10 пунктов

1. 01Определите, какие сервисы должны быть доступны.

Составьте список портов и протоколов (веб, почта, удалённое управление), которые нужно открыть.

1. 01Закройте все порты по умолчанию.

Настройте правило drop в конце цепочек input и forward, чтобы запретить всё, что не разрешено явно.

1. 01Разрешите только необходимые порты.

Создайте правила accept для каждого нужного порта с указанием протокола (TCP/UDP).

1. 01Защитите интерфейсы управления.

Ограничьте доступ к WinBox, SSH и веб-конфигуратору только с доверенных IP или подсетей, если это возможно.

1. 01Включите логирование для отладочных целей.

Настройте запись в лог для отклонённых пакетов, чтобы видеть попытки неавторизованных подключений.

1. 01Протестируйте доступность сервисов.

Используйте внешние инструменты проверки портов или попробуйте подключиться с другого устройства к вашему VPS.

1. 01Сохраните резервную копию конфигурации.

Экспортируйте настройки firewall и сохраните их локально или в кабинете SANSARA.

1. 01Проверьте работу клиентского ПО.

Убедитесь, что на iPhone, Android, Windows или macOS подключение устанавливается стабильно и трафик проходит через защищённый канал.

1. 01Настройте уведомления через Telegram-бот SANSARA.

Подключите бота для мониторинга состояния вашего личного VPS и получения оповещений о критических событиях.

1. 01Периодически пересматривайте правила.

Раз в несколько месяцев проверяйте актуальность правил firewall: удаляйте устаревшие, добавляйте новые, если изменился набор сервисов.

FAQ

• сначала разрешите нужные порты управления,
• только потом добавляйте правило drop в конец цепочки input,
• всегда имейте доступ к устройству через локальную сеть или консоль, если это возможно.

Вопрос: Как проверить, что мои правила firewall работают правильно? Ответ: Используйте встроенные утилиты RouterOS:

• Tool → Ping для проверки доступности узлов,
• IP → Firewall → Connections для просмотра активных соединений,
• Log для анализа событий firewall.

Также можно проверить порты извне с помощью онлайн-сервисов проверки открытых портов.

Вопрос: Подойдёт ли эта базовая настройка для корпоративного шлюза? Ответ: Да, принципы те же: разрешить нужные сервисы, запретить всё остальное, защитить управление. Но в корпоративной среде обычно добавляют более сложные правила: разделение по VLAN, политики для разных отделов, интеграцию с учётными записями и более детальное логирование.

Итог

• Начните с минимального набора правил: разрешите только необходимые порты, запретите всё остальное в цепочках input и forward.
• Используйте личный VPS SANSARA для быстрого старта: регистрация → активация узла → импорт конфигурации в клиент → проверка подключения.
• Настройте клиенты на всех устройствах: iPhone, Android, Windows, macOS — для стабильной работы через защищённый канал.
• Сохраняйте резервные копии конфигурации firewall и периодически пересматривайте правила по мере изменения сервисов.
• Используйте Telegram-бот SANSARA для мониторинга состояния вашего выделенного узла и оперативного реагирования на события.