Materi
Packet filter memeriksa setiap paket dari isi header-nya: alamat sumber dan tujuan, protokol, nomor port, dan antarmuka. NIST SP 800-41 mencatat bahwa router yang memakai access control list adalah contoh packet filter yang paling umum. Firewall stateful menambahkan tabel status: setiap koneksi dicatat, dan paket juga dinilai dari kecocokannya dengan koneksi yang sudah ada.
Di RouterOS, aturan filter dikelompokkan dalam tiga chain bawaan. input memeriksa paket yang tujuannya alamat router itu sendiri, misalnya sesi SSH ke router. forward memeriksa paket yang melewati router, misalnya laptop staf yang membuka situs. output memeriksa paket yang dibuat router sendiri. Paket yang melewati router tidak diperiksa chain input maupun output.
Connection tracking memberi setiap paket status. new adalah paket pembuka koneksi; pada TCP, paket ber-flag SYN. established adalah paket milik koneksi yang sudah tercatat. related adalah paket koneksi lain yang berkaitan, misalnya pesan galat ICMP atau koneksi data FTP. invalid adalah paket yang tidak termasuk koneksi mana pun. Dokumentasi RouterOS menyusun aturan dasar dari sini: terima established dan related, buang invalid, lalu aturan selanjutnya cukup mengurus paket new.
/ip firewall filter
add chain=forward connection-state=established,related action=accept
add chain=forward connection-state=invalid action=drop
add chain=forward in-interface=bridge-lan out-interface=ether1 action=accept
add chain=forward action=drop
