标签：03 处理 IP RouterOS Mikrotik output 数据包 路由 路由器

为了更好的理解RouterOS的防火墙，特地给大家补一下科学知识，ROS的防火墙，其实运作的就是iptables，也为四表五链。这篇文章教你快速理解ROS的防火墙，看懂了也就懂iptables是什么原理了。

四表五链大致如下。

1.四表：

Raw表——关闭连接追踪机制。用在prerouting，output链上。

Mangle表——拆解报文，分析报文，修改报文。用在prerouting，input，forward，output，postrouting链路上。

Nat表——网络地址转换，用在prerouting，output，postrouting链路上。

Filter表——负责过滤功能，用在input，forward，output链路上。

每个表优先级：

Raw—>Mangle—>Nat—>Filter

2.五链

A.input——进来的数据包应用此规则链中的策略

（经过了第一次路由选择的数据包）

B.output

——外出的数据包应用此规则链中的策略

（经过了第二次路由选择的数据包）

C.forward

——转发数据包时应用此规则链中的策略

（经过了第一次路由选择的数据包）

D.prerouting

——对进来的数据包作路由选择前应用此链中的规则（还没有经过任何路由选择的所有数据包进来的时侯都先由这个链处理）

E.postrouting

——对出去的数据包作路由选择后应用此链中的规则（经过了所有的路由选择的所有数据包出来的时侯都先由这个链处理）

先看五链的图：

也许有人会问，为什么要判断两次路由呢？

其实路由是判断这个数据从哪里来到哪里去，要不要路由器出手干活，可以这么理解:

A.目的IP是路由器，但是不需要内核处理的数据，如内网对内网，只要经过一次判断就一条直线传出去了。

B.目的IP是路由器，且需要内核处理的数据，如内网对公网、公网对内网，都要拐个弯处理。因为涉及修改IP数据的处理。

所以，第一次是判断是否要路由器出手处理，第二次是修改完IP数据之后决定往哪个接口（网关）上面送数据。慢慢理解，不要急。

然后就是ROS里面用的链和表的关系图，告诉你链可以在哪里被处理。

看起来还是很烦，那么如何选用合适的链处理规则呢？

五链可以这样快速理解：

A.——处理进来路由器的的数据包。（目的IP在路由器上的）

B.output——处理从路由器出去的数据包。

C.forward——数据包源IP和目的IP都不在路由器上的。

D.prerouting——外面进来路由器接口的数据包。

E.postrouting——路由器从接口送出去的数据包。

这样子就很好理解了。

以上就是RouterOS的防火墙一个大致处理过程。

3.规则是怎么处理的

任何数据经过路由器都会经过链式处理，我们在合适的地方配置规则，匹配了，就可以进行相应的处理。

那么怎么选择合适的链路进行配置，配置的处理动作又有那些呢？下一章节我们开始介绍下ROS防火墙的每个表是如何设置规则的。

标签：03,处理,IP,RouterOS,Mikrotik,output,数据包,路由,路由器
来源： https://blog.51cto.com/13796759/2426111

本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享；
2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关；
3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关；
4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除；
5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。