ros如何禁止外网用winbox连接我更彻底一点

norikohxb

我的ros已经设置了

但是这个越南的傻鸟还是一直来让我denied
有什么办法不让这种越南的ip来给我造成denied winbox吗？

sereinl

改端口，防火墙里加规则

norikohxb

stvber 发表于 2021-2-18 00:29
改端口，防火墙里加规则

你好，按照你的说法我把 ip service里面的端口修改成为其他的，现在我自己的winbox无法连接，有其他办法吗？

norikohxb

stvber 发表于 2021-2-18 00:29
改端口，防火墙里加规则

有了，加上冒号就行了。和ftp一样，谢谢了。
然后防火墙规则可以教我吗？我想要吧越南的ip段拉黑到无法访问我的winbox的，就是不想要在纪录里面看到他总是尝试登陆我的winbox

wang212

把从外网登陆你80和8291端口的IP加到列表中，如果连续登陆则拒绝它登陆一定的时间段（可根据需要修改长短），代码如下：
/ip firewall filter
add action=drop chain=input comment="Drop bruteforcers list" disabled=no \
    protocol=tcp src-address-list=bruteforcers
add action=add-src-to-address-list address-list=bruteforcers \
    address-list-timeout=1w chain=input comment="SSH bruteforce attempt 3" \
    connection-state=new disabled=no dst-port=80,8291 \
    protocol=tcp src-address-list=ssh_attempt_2
add action=add-src-to-address-list address-list=ssh_attempt_2 \
    address-list-timeout=1m chain=input comment="SSH bruteforce attempt 2" \
    connection-state=new disabled=no dst-port=80,8291 \
    protocol=tcp src-address-list=ssh_attempt_1
add action=add-src-to-address-list address-list=ssh_attempt_1 \
    address-list-timeout=1m chain=input comment="SSH bruteforce attempt 1" \
    connection-state=new disabled=no dst-port=80,8291 \
    protocol=tcp src-address-list=!lan

/ip firewall address-list
add address=192.168.8.0/24 disabled=no list=lan
add address=192.168.16.0/24 disabled=no list=lan

little3344

/ip firewall filter
add action=accept chain=input comment="accept established,related" connection-state=established,related
add action=drop chain=input comment="drop all from WAN" in-interface-list=WAN

norikohxb

wang212 发表于 2021-2-18 23:48
把从外网登陆你80和8291端口的IP加到列表中，如果连续登陆则拒绝它登陆一定的时间段（可根据需要修改长短） ...

感谢您，我用了您的方法已经看不到那个尝试登陆winbox的log了，在log没有了，比如我如果要看看是哪个国家的人一直尝试要登陆我的winbox（其实我的winbox只对内网开启）我需要到哪里去看这个非法登陆的ip？

wang212

winbox下可查看
ip->firewall -> address lists下name为bruteforcers的信息

fragranse

wang212 发表于 2021-2-18 23:48
把从外网登陆你80和8291端口的IP加到列表中，如果连续登陆则拒绝它登陆一定的时间段（可根据需要修改长短） ...

感谢大佬的分享，这个策略太赞了！

merit

谢大佬的分享，这个策略太赞了！

wbb2023

如果你不需要从外网访问路由器，直接把input（wan口）的8291端口禁了就行了

testtotest

wang212 发表于 2021-2-18 23:48
把从外网登陆你80和8291端口的IP加到列表中，如果连续登陆则拒绝它登陆一定的时间段（可根据需要修改长短） ...

太棒了，点赞，但我发现addresses list最大的超时时间是248d 13:13:56

wang212

testtotest 发表于 2025-4-12 08:21
太棒了，点赞，但我发现addresses list最大的超时时间是248d 13:13:56

如果想长时间保留，自己设置个定时任务吧。
:foreach i in=[/ip firewall address-list find dynamic=yes list=bruteforcers] do={
{
:local addr [/ip firewall address-list get $i address]
/ip firewall address-list remove $i
/ip firewall address-list add address=$addr list=bruteforcers
}}}

testtotest

wang212 发表于 2025-4-14 08:44
如果想长时间保留，自己设置个定时任务吧。
:foreach i in=[/ip firewall address-list find dynamic=yes ...

有办法判断包的内容吗，比如在尝试登录winbox的，只要登录一次就可以长时间禁掉。（有些是网络上批量扫描端口的，如果都加进来，ip 列表就太长了。）

wang212

testtotest 发表于 2025-4-15 23:31
有办法判断包的内容吗，比如在尝试登录winbox的，只要登录一次就可以长时间禁掉。（有些是网络上批量扫描 ...

5楼已经判断了啊。加到bruteforcers里的都是多次登陆(扫描)的。