Mikrotik RouterOS forward drop statt accept

[newsletter]

Moin,

vielleicht kann mir jemand helfen.
Bin neu im Thema Mikrotik / RouterOS.

Meine Geräte:
ISP -> Modem (DrayTek Vigor 167) -> Router (MikroTik Hex S)

WAN habe ich auf Port 1 beim Hex S.
Den Laptop auf Port 2 beim Hex S.
Internet habe ich soweit.

Ipconfig:

Verbindungsspezifisches DNS-Suffix:
Verbindungslokale IPv6-Adresse . : fe81::5bb:b52d:178d:4753%15
IPv4-Adresse . . . . . . . . . . : 192.168.1.53
Subnetzmaske . . . . . . . . . . : 255.255.255.0
Standardgateway . . . . . . . . . : 192.168.1.1

Nun bin ich an den Forward-Regeln dran:
Ich verstehe nicht wieso mein Zugriff auf Webseiten (Port 80 / 443) vom Laptop / ether2 nicht klappt.
Es landet jedes mal im Drop.

Meine Firewall-Einstellungen:

Problematische Konfig:

(bei Action natürlich "accept")

Danke

Gruss newsletter

 

[dms]

als Laie würde ich das so lesen, das du ja nur IP6 (vgl. Protocol Eintrag) erlaubst und damit würde IP4 (99% der) Webseiten ja in den Drop-Zweig kommen...

Ahoi D.

 

[chrigu]

Port 80 (http) und 443 (https) sind immer offen und brauchen nicht weitergeleitet oder erlaubt werden, im Normalfall
was genau hast du vor? ein Game zum laufen zu bringen Obwohl du ds-lite/cgn hast?
deine Konstellation mit vigor plus mikrotik bedürfen ein paar Erfahrungen mehr als das übliche Consumer Wissen und kann bei falscher Konfiguration sehr teuer werden.

 

[newsletter]

Man kann sich überall einlernen

Ich habe bereits mehrere Jahre ein Server zuhause am laufen. Hierfür will ich eine DMZ resp. vLan's einrichten um einzelne Dienste/ Docker Container (z.B. Webseite) öffentlich zu machen.

Würde ich nur ein Game zum laufen bringen wollen wäre ich bei der Fritzbox geblieben
Bis das ganze sicher läuft surfe ich auch mit der alten Fritzbox 7490 weiter.

-> Benutzer "admin" ist ersetzt durch einen neuen kryptischen resp. natürlich sehr gutem pw.
-> Upgrade auf Version 7.7

Meine aktuellen Firewall Regeln:
Input Chain: Zugriff von Aussen nach Innen verhindern.
-> Zugriff von Lan-Port 2.
-> related & established akzeptieren
-> rest droppen.

Das müsste bereits reichen, dass die Ports für die Öffentlichkeit blockiert sind (zumindest sagt das nmap).

Forward Chain: Zugriff von Innen nach Aussen.
-> related & established akzeptieren.
-> mal testweise 80 (http) / 443 (https) erlauben für den Pc am Lan2
-> rest droppen

Port 80 (http) und 443 (https) sind immer offen und brauchen nicht weitergeleitet oder erlaubt werden, im Normalfall

Der drop müsste auch 80/443 blockieren, zumindest sagt das der log innerhalb vom drop.
Würde der drop 80/443 nicht blockieren chönte ich weiterhin auf Webseiten surfen, erst nach dem deaktiveren wieder möglich.

Hiermit will ich erreichen, dass ich die Kommunikation von einzelnen Diensten besser steuern kann.
z.B. HTPC darf nicht überall drauf

Blöderweise macht die oben geschriebene Regel nicht genau das was ich will..

Mir ist klar, dass die Konfiguration entscheidend ist z.B. Bruteforce / DDos ist bisher noch nicht blockiert.

Das ganze will ich ggf. weiter ausbauen:
-> E-Mail Server
-> Mikrotik cAP ac

Gruss newsletter