Firewall Servidores Mikrotik - Histórico de revisão

Sandino: /* 📝 Observação Final (IPv6) */

2026-01-19T19:25:33Z

📝 Observação Final (IPv6)

Sandino em 19h24min de 19 de janeiro de 2026

2026-01-19T19:24:14Z

Mostrar alterações

Sandino: /* 5. Conclusão */

2026-01-19T19:12:05Z

5. Conclusão

Sandino: /* 4.4 Aplicação de exemplo – DNS IPv6 */

2026-01-19T19:09:16Z

4.4 Aplicação de exemplo – DNS IPv6

Sandino: /* 4.3 Regra de INPUT – DMZ IPv6 */

2026-01-19T19:08:37Z

4.3 Regra de INPUT – DMZ IPv6

Sandino em 19h08min de 19 de janeiro de 2026

2026-01-19T19:08:18Z

Sandino em 19h04min de 19 de janeiro de 2026

2026-01-19T19:04:36Z

Sandino em 18h53min de 19 de janeiro de 2026

2026-01-19T18:53:08Z

Sandino em 18h52min de 19 de janeiro de 2026

2026-01-19T18:52:19Z

Sandino em 18h51min de 19 de janeiro de 2026

2026-01-19T18:51:43Z

@@ Linha 238: / Linha 238: @@
 * Segurança contra abuso e amplificação
-== 4. Regras de Firewall IPv6 ==
+== 4. Regras de Firewall IPv6  ==
 O firewall IPv6 segue exatamente o mesmo conceito do IPv4, utilizando isolamento por aplicação através de chains dedicadas, evitando drops globais e mantendo o controle individual por serviço.
@@ Linha 319: / Linha 319: @@
 * Controlar resolução por origem
 * Prevenir abuso e amplificação
+'''📝 Observação Final (IPv6)'''
 O firewall IPv6 não deve ser tratado como opcional. Todo serviço publicado em IPv4 caso tenha IPv6 também necessita de firewall, visto que o IPv6 é possível disponibilizar acesso via ssh, amplificações e etc, IPv6 é o protocolo padrão da internet!

← Edição anterior		Edição das 19h12min de 19 de janeiro de 2026
Linha 301:		Linha 301:

	== 5. Conclusão ==		== 5. Conclusão ==
		+	Este padrão de firewall por chain permite facilitar a gerencia das regras e garantir uma gerencia facilitada, evitando o problema de desabilitar o DROP geral de firewall que sempre ocorre em momentos de problema e acaba ficando dias sem estar habilitado ou até mesmo nunca mais habilitado novamente. A ideia é realizar um padrão de firewall onde garantimos segurança e gerencia facilitada.
		+
		+	== 6. Sobre mim ==
		+	Este é meu primeiro publicado, em caso de qualquer erro ou sugestão de melhoria aceito com gratidão, caso tenha duvida e queira tirar duvidas sobre o firewall pode entrar em contato comigo:
		+
		+	Telefone (whatsapp): 19 987601686
		+
		+	e-mail: vitor.sandino@version2.com.br

@@ Linha 276: / Linha 276: @@
 <code>/ipv6 firewall filter
 add action=jump chain=forward comment="DNS PRIMARIO" dst-address=2804:XXXX:2::4/128 jump-target=DNS
 add action=jump chain=forward comment="DNS SECUNDARIO" dst-address=2804:XXXX:2::5/128 jump-target=DNS
 add action=accept chain=DNS protocol=icmp
-add action=accept chain=DNS dst-port=53 protocol=tcp src-address-list=RESOLVE-DNS
 add action=accept chain=DNS dst-port=53 protocol=udp src-address-list=RESOLVE-DNS
 add action=drop chain=DNS

@@ Linha 249: / Linha 249: @@
 <code>/ipv6 firewall filter
 add action=jump chain=input comment=CE-DMZ dst-address=2804:XXXX:1::1/128 jump-target=CE-DMZ
 add action=accept chain=CE-DMZ dst-port=22,8291 protocol=tcp src-address-list=REDES_CONFIAVEIS
 add action=drop chain=CE-DMZ</code>

@@ Linha 249: / Linha 249: @@
 <code>/ipv6 firewall filter
+add action=jump chain=input comment=CE-DMZ dst-address=2804:XXXX:1::1/128 jump-target=CE-DMZ
-add chain=input dst-address=2804:8dcc::7/128
+add action=accept chain=CE-DMZ dst-port=22,8291 protocol=tcp src-address-list=REDES_CONFIAVEIS
-action=jump jump-target=CE-DMZ comment="CE-DMZ INPUT"
+add action=drop chain=CE-DMZ</code>
 '''Objetivo'''
@@ Linha 271: / Linha 260: @@
 * Bloquear tentativas não autorizadas
-=== 4.4 Aplicação de exemplo – DNS Anycast IPv6 ===
+=== 4.4 Aplicação de exemplo – DNS IPv6 ===
 Neste cenário, os servidores DNS IPv6 são protegidos por uma chain dedicada (<code>DNS</code>).
@@ Linha 277: / Linha 266: @@
 Somente endereços presentes na address-list <code>RESOLVE-DNS</code> podem realizar consultas.
-Os IPs Anycast utilizados são:
+Os IPs utilizados são:
 <code>2804:XXXX:2::4</code> – Primário
-<code>2804:XXXX::5</code> – Secundário
+<code>2804:XXXX:4::5</code> – Secundário
 <code>/ipv6 firewall filter
-add chain=forward dst-address=2804:8dcc:1::4/128
+</code>
 '''Objetivo'''

← Edição anterior		Edição das 19h04min de 19 de janeiro de 2026
Linha 191:		Linha 191:
	* Controle por cliente		* Controle por cliente
	* Segurança contra abuso e amplificação		* Segurança contra abuso e amplificação
		+
		+	== 4. Regras de Firewall IPv6 ==
		+
		+	O firewall IPv6 segue exatamente o mesmo conceito do IPv4, utilizando isolamento por aplicação através de chains dedicadas, evitando drops globais e mantendo o controle individual por serviço.
		+
		+	A principal diferença é apenas o uso de /ipv6 firewall filter e endereços IPv6 /128 para hosts, sempre tenha firewall IPv6 para as suas aplicações também.
		+
		+	=== 4.1 Conexões estabelecidas ===
		+
		+	Estas regras devem ficar no início do firewall IPv6, garantindo o funcionamento correto das conexões já existentes.
		+
		+	<code>/ipv6 firewall filter
		+
		+	add chain=forward connection-state=established,related
		+	action=accept comment="CONEXOES ESTABELECIDAS/RELACIONADAS"</code>
		+
		+	'''Objetivo'''
		+
		+	Manter sessões ativas
		+
		+	Evitar reprocessamento desnecessário
		+
		+	Garantir estabilidade dos serviços IPv6
		+
		+	=== 4.2 Redes Confiáveis (IPv6) ===
		+
		+	Assim como no IPv4, a address-list <code>REDES_CONFIAVEIS</code> centraliza origens administrativas também no IPv6.
		+
		+	Todo tráfego originado dessas redes é aceito diretamente no <code>forward</code> e no <code>input</code>.
		+
		+	<code>/ipv6 firewall filter
		+
		+	add action=jump chain=forward src-address-list=REDES_CONFIAVEIS
		+	jump-target=REDES_CONFIAVEIS comment="REDES CONFIAVEIS"
		+
		+	add action=jump chain=input src-address-list=REDES_CONFIAVEIS
		+	jump-target=REDES_CONFIAVEIS comment="REDES CONFIAVEIS"
		+
		+	add action=accept chain=REDES_CONFIAVEIS</code>
		+
		+	'''Objetivo'''
		+
		+	Centralizar acessos administrativos
		+
		+	Evitar repetição de regras
		+
		+	Facilitar manutenção do firewall IPv6
		+
		+	⚠️ Evite adicionar prefixos IPv6 muito amplos (/32, /29).
		+	Sempre que possível, utilize o menor tamanho de prefixo possível ou prefixos bem definidos.
		+
		+	=== 4.3 Regra de INPUT – DMZ IPv6 ===
		+
		+	Estas regras controlam o acesso a endereços IPv6 de gestão publicados no próprio roteador.
		+
		+	Somente origens presentes na <code>REDES_CONFIAVEIS</code> conseguem acessar serviços administrativos.
		+
		+	<code>/ipv6 firewall filter
		+
		+	add chain=input dst-address=2804:8dcc::7/128
		+	action=jump jump-target=CE-DMZ comment="CE-DMZ INPUT"
		+
		+	add chain=input dst-address=2804:8dcc:1::1/128
		+	action=jump jump-target=CE-DMZ comment="CE-DMZ INPUT"
		+
		+	add chain=CE-DMZ protocol=tcp dst-port=2210,8291
		+	src-address-list=REDES_CONFIAVEIS action=accept
		+
		+	add chain=CE-DMZ protocol=udp dst-port=2210,8291
		+	src-address-list=REDES_CONFIAVEIS action=accept
		+
		+	add chain=CE-DMZ action=drop</code>
		+
		+	'''Objetivo'''
		+	* Proteger o acesso administrativo IPv6
		+
		+	* Restringir por origem confiável
		+
		+	* Bloquear tentativas não autorizadas
		+
		+	=== 4.4 Aplicação de exemplo – DNS Anycast IPv6 ===
		+
		+	Neste cenário, os servidores DNS IPv6 são protegidos por uma chain dedicada (<code>DNS</code>).
		+
		+	Somente endereços presentes na address-list <code>RESOLVE-DNS</code> podem realizar consultas.
		+
		+	Os IPs Anycast utilizados são:
		+
		+	<code>2804:XXXX:2::4</code> – Primário
		+
		+	<code>2804:XXXX::5</code> – Secundário
		+
		+	<code>/ipv6 firewall filter
		+
		+	add chain=forward dst-address=2804:8dcc:1::4/128
		+	action=jump jump-target=DNS comment="GODNS PRIMARIO GERENCIA"
		+
		+	add chain=forward dst-address=2804:8dcc:1::5/128
		+	action=jump jump-target=DNS comment="GODNS SECUNDARIO GERENCIA"
		+
		+	add chain=forward dst-address=2804:8dcc:2::4/128
		+	action=jump jump-target=DNS comment="GODNS PRIMARIO ANYCAST"
		+
		+	add chain=forward dst-address=2804:8dcc:2::5/128
		+	action=jump jump-target=DNS comment="GODNS SECUNDARIO ANYCAST"
		+
		+	add chain=DNS protocol=icmp action=accept
		+
		+	add chain=DNS protocol=tcp dst-port=53
		+	src-address-list=RESOLVE-DNS action=accept
		+
		+	add chain=DNS protocol=udp dst-port=53
		+	src-address-list=RESOLVE-DNS action=accept
		+
		+	add chain=DNS action=drop</code>
		+
		+	'''Objetivo'''
		+	* Evitar DNS aberto em IPv6
		+
		+	* Controlar resolução por origem
		+
		+	* Prevenir abuso e amplificação
		+
		+	=== 📝 Observação Final (IPv6) ===
		+
		+	O firewall IPv6 não deve ser tratado como opcional. Todo serviço publicado em IPv4 caso tenha IPv6 também necessita de firewall, visto que o IPv6 é possível disponibilizar acesso via ssh, amplificações e etc, IPv6 é o protocolo padrão da internet!
		+
		+	== 5. Conclusão ==

@@ Linha 151: / Linha 151: @@
 <code>/ip firewall address-list
 add list=RESOLVE-DNS address=100.64.0.0/10 comment="CGNAT clientes"
 add list=RESOLVE-DNS address=187.45.120.0/24 comment="Cliente ISP A"
 add list=RESOLVE-DNS address=200.200.200.0/22 comment="Meu bloco"</code>
 ----🔐 Regras de Firewall – DNS Anycast
@@ Linha 163: / Linha 166: @@
 <code>/ip firewall filter
 add chain=forward dst-address=200.200.200.1 action=jump jump-target=DNS comment="DNS PRIMARIO"
 add chain=forward dst-address=200.200.200.2 action=jump jump-target=DNS comment="DNS SECUNDARIO"
 add chain=DNS protocol=icmp action=accept comment="ICMP DNS"
 add chain=DNS protocol=udp dst-port=53 src-address-list=RESOLVE-DNS action=accept comment="DNS UDP autorizado"
 add chain=DNS action=drop comment="DROP DNS NAO AUTORIZADO"</code>