Mikro

5.
Preparando y configurando las ethernet en RouterBoard RB750 y x86

Una vez instalado el Mikrotik en una PC (x86) o teniendo un Router Board Mikrotik procederemos a
configurarlo para poder tener Internet. Para el caso de una PC observamos que se presenta la
siguiente figura
Mikrotik puede observar las tarjetas de red que tiene el equipo, en este caso hay 3 tarjetas de red.
Una es de la placa misma y las otras dos son tarjetas D-Link. Si hubiera el caso en el que no reconoce
una tarjeta de red, podra ser que fuera una tarjeta cuyo driver no lo tenga Mikrotik (normalmente
ocurre con tarjetas baratas y no conocidas para evitar ello busquen buenas tarjetas de red de marcas
como 3-Com D-Link etc.
Caso RB750 y dems RouterBoard
Si has comprado algn RB habrs visto que ya viene con una configuracin pre-diseada, entonces lo
que vamos hacer es resetear al RB para poder hacer las configuraciones manualmente.
Por defecto el Mikrotik viene con la red 192.168.88.1 y para poder acceder al RB tenemos que poner
el cable de red en cualquiera de los puertos del 2 al 5 y recomendamos acceder por la MAC para la
primera vez, esto debido para que no esten configurando su tarjeta de red con la
IP 192.168.88.X donde X toma valores entre 2 - 254.
Nota: No poner en el puerto 1 ya que por defecto viene bloqueado
Entonces seleccionado la MAC de nuestro RB750 y damos en conectar
Nos aparecer una

ventana donde nos
dice que el equipo
esta con la configuracin por defecto:
El puerto "ether1" es renombrado con "ether1-gateway (WAN)" y el resto de las interfaces estan
como "switch", por lo que los cuatro puertos son "slaves" de el puerto 2 "ether2-local-master(LAN)".
Para poder quitar la configuracin por defecto abriremos la consola del Winbox, y vamos a escribir las
siguientes palabras:
Cdigo:
system reset
En el terminal aparecera un aviso que es peligroso hacer esto (Dangerous) y preguntar si desea
hacer esta accin, nosotros daremos un YES. El routerboard se reiniciar y accederemos otra vez al
mikrotik por medio del winbox.
Una vez que se reinicie el mikrotik y accedamos a l, nos aparecer la siguiente ventana en la que
nosotros deberemos seleccionar el cuadro rojo y haremos un click en el cuadro "REMOVE
CONFIGURATION"
Se prender y apagar por ultima vez y por fin podremos ver el mikrotik sin ninguna configuracin
lista para ser configurada como queramos. Veremos cinco entradas de ethernet:
ether1
ether2
ether3
ether4
ether5
6. Configurando las tarjetas de red WAN y LAN para tener internet desde el Mikrotik
En esta etapa vamos a configurar las interfaces que se encuentran tanto en nuestra PC como en el
RouterBoard de Mikrotik. PAra poder observar todas las interfaces seleccionaremos del comando que
se encuentra en la izquierda la opcion "interfaces"
El esquema de la red ser la siguiente:
Configurando la WAN
Antes de configurar la WAN vamos a ver mas sobre las opciones que tiene una interfaz en el Mikrotik:
Como primer punto uno podr ver que por defecto tiene un nombre de la interface llamado "ether1"
"ether2" etc, en este campo vamos a poder escribir el nombre de la interfaz a nuestro antojo. Este
paso es una gran ayuda debido a que vamos a poder reconocer de forma rpida las interfaces.
Adems existen otros datos, tales como, saber si existe un cable de red conectado en ese puerto o
saber si esta habilitado
Ahora vamos a la interface llamada "ether1" y le cambiamos el nombre a "WAN"
Ahora vamos a la interface llamada "ether2" y le cambiamos el nombre a "LAN"
Listo ahora colocaremos las IPs a la WAN y a LAN, para ello entraremos a IP y despus a Address para
ello
Para la WAN colocaremos la siguiente IP 192.168.1.200/24
Para la LAN colocaremos la siguiente IP 192.168.10.1/24
Algunos estarn preguntandose: Porqu /24?

Bueno ese /24 indica la mascara de red que tiene la direccin IP, por si no lo sabas sirve para
delimitar el mbito de una red. Te permite que todos los grupos de direcciones IP que pertenecen a la
misma mascara de red estan en una misma red y por lo tanto son una misma unidad. En este caso la
mascara de red es 255.255.255.0.
Bueno hasta el momento tenemos las IPs seleccionadas y mencionadas ahora nos falta "natearlas",
para este caso la linea que nos provee internet es el equipo ADSL (puede ser Zyxel) cuyo IP
es 192.168.1.1, pero nosotros vamos a crear nuestra propia red cuyo IP del mikrotik
es 192.168.10.1, entonces nuestras IPs de nuestra nueva red seran de la
forma192.168.10.X donde X toma valores de [2 hasta el 254].
Chain, seleccionamos scrnat. Aunque siempre est as por defecto cuando se crea una nueva regla...
Out. Interface, seleccionaremos nuestra interfaz WAN
Ahora enmascaramos nuestra interfaz WAN
Ahora nos falta decirle al mikrotik que el internet viene del router 192.168.1.1, que para este caso es
del router ADS
En la ventana Route List, se observa que hay 2 reglas que nosotros no agregamos (esto es normal)
Vamos a prepararnos para agregar la puerta de enlace que usar nuestro servidor Mikrotik, vamos a
la pestaa Routes y agregamos una nueva regla (+).
Gateway, aqu slo colocaremos la puerta de enlace del router ADSL (192.168.1.1 para este caso),
con esto le estamos diciendo al servidor de dnde llega el internet para repartirlo.
Con esto la interfaz de red LAN debera de tener internet si conectamos los cables correctamente.
Ahora lo nico que nos falta es configurar las tarjetas de red de los clientes. Teniendo en cuenta que
nuestra nueva puerta de enlace es 192.168.10.1, entonces el cliente debera de tener esta
configuracin de acuerdo a ese rango de red.
Aqui un ejemplo:
7. Configurar la hora en equipos RouterBoard y equipos x86 - NTP Client

Antes de continuar con el proximo tema (que es la asignacin de ancho de banda a cada cliente)
tenemos que configurar la hora en los equipos que tienen el Mikrotik, y ustedes se preguntarn Para
qu? bueno este es indispensable para aplicar reglas con horarios establecidos.
En una PC (Mikrotik esta en el disco duro)
Simple y limpio.
solo cambiamos los apartados Date y Time
No olvidarse que para cambiar los meses y dias MikroTik utiliza el formato americano que es el
siguiente
Mes/Da/Ao, todo est representado por letras y en ingls, entonces los meses seran:
Jan | Feb | Mar | Apr | May | Jun | Jul | Aug | Sep | Oct | Nov | Dec
Hora en un RouterBoard
Lamentablemente para este caso los RouterBoards no tienen una pila o batera que pueda guardar
datos al momento de apagar y reiniciar el equipo. Entonces es necesario de un servidor NTP. Ahora la
pregunta es:
Qu es un servidor NTP?
El protocolo NTP (Network Time Protocol o traducido Protocolo de tiempo en la red), ms comnmente
conocido como NTP, es un protocolo de Internet ampliamente utilizado para transferir el tiempo a
travs de una red. NTP es normalmente utilizado para sincronizar el tiempo en clientes de red a una
hora precisa.
En cristiano, un servidor NTP da la hora a dispositivos que se encuentren conectados a la red.
Entonces, manos a la obra vamos a configurar el NTP client (cliente porque va el RB va a recibir la
hora):
Como observaremos tenemos que activar el SNTP Client para ello haremos un check en "enabled"
Despues de dar con "enabled" seleccionaremos "unicast"

Como podrn observar automticamente los dos campos situados en la parte de abajo se activaran
esperando que les de un IP de algn servidor NTP.
Podemos encontrar muchos servidores NTP en la web. Dentro de ello aqui les puedo dar unos
cuantos
Cdigo:
0.south-america.pool.ntp.org = cuyo IP es 146.164.53.65
Cdigo:
time-a.nist.gov
= cuyo IP es 129.6.15.28
Este es asi como tengo configurado mi RB, pueden ponerle mas de una IP para que si falla uno salte
el otro automticamente.
Listo!! pero falta un paso
Listo ahora si ya una vez seleccionado para la regin Amrica/Lima
8. Ancho de Banda por grupo de IPs y/o Horario y/o Fecha
Uno de las grandes ventajas de los equipos Mikrotik es el poder administrar el ancho de banda de una
red. Esto es un punto crucial debido a que hoy en da existen pginas web que consumen altos niveles
de ancho de banda. Un ejemplo es el youtube. Este es un dolor de cabeza para las Lan Center en la
que se requiere una buena latencia.
Es un problema? Respuesta: Es un gran problema, es por ello que es necesario poder tener algun
administrador de ancho de banda, en la que uno puede saber cuanto ancho de banda como mximo
se le da a un usuario en la red. Para ello haremos los siguientes pasos:
Name: En este casillero podremos colocar cualquier nombre, es solo para poder identificar que
mquina es la que esta con la cola (ancho de banda) Podremos colocar cualquier nombre que se nos
ocurra como dije es solo una referencia.
Target Address: tenemos que especificar el IP de nuestro equipo cliente al que queremos limitar
el ancho de banda
Nota: Es necesario ingresar algun IP de lo contrario se asignara el ancho de banda para
toda la red ocasionando problemas, asi que ESCRIBA UN IP
Max Limit: Esta es la parte que ms nos interesa debido a que es donde es el lugar donde fijaremos
la velocidad mxima de nuestro cliente, tanto de subida (upload) como de bajada (download)
Ejemplo UNO
La computadora con IP 192.168.1.30 esta haciendo altos consumos de la red por lo que se le pide
que le asigne una regla para que no este produciendo cuellos de botella en la red. Usted va hacer lo
siguiente
192.168.1.30 con ancho de banda de SUBIDA 500Kbps y de BAJADA 1000Kbps (Un mega)
Ejemplo DOS
Existe un conjunto de computadoras con las siguientes IPs
192.168.1.31
192.168.1.32
192.168.1.33
192.168.1.34
192.168.1.35
y a usted le piden que este conjunto de computadoras tenga 1 mega de subida y 2 megas de bajada
de velocidad, es decir que haya dos megas que se repartan entre ellas. Entonces usted hara la
siguiente cola (queue)
Ahora usted ver que hay varias colas que usted ha creado con sus respectivos colores. Los colores
cambiarn dependiendo del uso que le de la computadora a su ancho de banda asignado; entonces, si
una computadora cliente usa de 0 a 50% de su ancho de banda, su regla estar de color verde, si usa
del 50 a 70%, se volver amarillo, ya si pasa del 70% entonces su regla se volver roja.
Ejemplo TRES
Le piden que:
La computadora con IP 192.168.1.30 tenga ancho de banda de 1 mega de subida y 2 megas de
bajada de partir de las 00:00 horas hasta el medio da.
La misma computadora con IP 192.168.1.30 tenga un ancho de banda de 500k de subida y 800k de
bajada despus del medioda hasta las 24 horas.
Manos a la obra. Para ello crearemos dos reglas
Para poder hacer esto debemos ESTAR SEGUROS QUE MIKROTIK TIENE YA TIENE
CONFIGURADO SU HORA ES DECIR USTED DEBIO LEER EL SIGUIENTE MANUAL Configurar la
hora en equipos RouterBoard y equipos x86 - NTP Client (Obligatorio)
La primera regla ser:
La computadora con IP 192.168.1.30 tenga ancho de banda de 1 mega de subida y 2 megas de
bajada de partir de las 00:00 horas hasta el medio da.
La segunda regla ser

La misma computadora con IP 192.168.1.30 tenga un ancho de banda de 500k de subida y 800k de
bajada despus del medioda hasta las 24 horas.
Con estas dos reglas usted podr asignar dos anchos de banda por horarios
Ejemplo CUATRO
Le piden que la computadora con IP 192.168.1.30 deber tener buen ancho de banda los das LUNES
MARTES MIERCOLES debido a que estos das tiene que enviar archivos importantes y a la vez bajar
archivos grandes.
Entonces el caso es:
192.168.1.30 Tendr 2000 kbps (2 megas de subida) y 4000kbps (4 megas de bajada) los das
LUNES MARTES MIERCOLES y los otros das tendra un ancho de banda de 500k de subida y 800k de
bajada.
La primera regla sera
192.168.1.30 Tendr 2000 kbps (2 megas de subida) y 4000kbps (4 megas de bajada) los das LUNES
MARTES MIERCOLES
La segunda regla sera

los otros das tendra un ancho de banda de 500k de subida y 800k de bajada.
Existen ms opciones dentro del rea de QUEUES pero por el momento estamos aprendiendo a
caminar para mas adelante correr.
9. Amarre de MAC e IP - Entendiendo el proceso ARP

Para que los dispositivos (llamamos dispositivos a los equipos como PC, APs, Smartphone, Servidores,
etc) se puedan comunicar, los dispositivos emisores necesitan tanto las direcciones IP como las
direcciones MAC de los dispositivos destino. Entonces cuando estos dispositivos emisores tratan de
comunicarse con dispositivos cuyas direcciones IP ellos conocen, deben determinar las direcciones
MAC. El conjunto TCP/IP tiene un protocolo, denominado ARP, que puede detectar automticamente la
direccin MAC. El protocolo ARP entonces permite que un computador descubra la direccin MAC del
computador que est asociado con una direccin IP.
Mikrotik tiene una tabla ARP en la que se guarda las IPs y se amarran a las MAC, es como si una
persona tuviera el DNI00:37:6D:F8:E9:27 y desee ir a un concierto, entonces la persona comprar
tickets para el asiento 192.168.1.2, entonces a usted le ser asignado ese nmero y nadie ms
podr tener el ticket con numero 192.168.1.2. La misma dinmica es la que tiene el amarre de MAC
e IP en el Mikrotik.
Vamos al Mikrotik y abriremos la tabla ARP para colocar nuestro amarre. Lo primero que podremos
ver es que existen MACs e IPs ya escritos (esto es si tenemos ya maquinas navegando o haciendo
algun trafico por la red). La segunda caracterstica es que tienen una letra "D" al costado, esta "D"
indica que los dispositivos no estn colocados en la tabla, al ser dinmicos estos pueden aparecer y
desaparecer.
Abrimos en el simbolo "+" para crear un amarre de MAC e IP, En ese casillero llenaremos los datos de
nuestro dispositivo, el IP Address de nuestro dispositivo de red. MAC Address; aqu tiene que ir el
MAC del PC de nuestro cliente o dispositivo de red que necesite internet. Interface, tendremos que
especificar la interfaz de red por donde entran estos IP's y MAC's, aqu tendremos que seleccionar la
interfaz de red LAN.
Para el ejemplo mostrado:

IP 192.168.1.2
MAC 00:37:6D:F8:E9:27
Terminamos?
Pues NO
Lo que vamos hacer es de suma importancia por lo que
Advertimos:
Solo vas hacer el siguiente paso si estas seguro que todas los dispositivos esten en la tabla, si existe
un dispositivo que no este automticamente ser rechazado de la red y no podr entrar al mikrotik.
Inclusive la computadora donde estas configurando el Mikrotik, por eso TODOS DEBEN ESTAR EN
LA TABLA
Observamos que la Interface LAN tiene el campo ARP como "enabled" esto quiere decir que esta
abierto la red, lo que vamos hacer es cerrar el sistema de tal manera que no puedan navegar en
internet las computadoras que NO esten en la tabla ARP
Seleccionamos ARP "reply only"
Listo solo las computadoras que esten en la tabla ARP podrn navegar y las que no se encuentren
seran rechazados por el servidor. Un diagrama de esto ser dibujado.
Backup por Consola y Winbox - Guardando Toda la configuracin
Backup - Guardando Toda la configuracin
En algunos momentos existe la posiblidad de que ocurra algun accidente y eliminemos alguna regla o
quizs corrimos un script el cual ha provocado que nuestro Mikrotik no salga a internet o no est
funcionando correctamente. Para ello todo administrador de redes deber tener en cuenta guardar
siempre un backup del sistema.
La copia de seguridad (Backup) de configuracin se puede utilizar para hacer copias de seguridad de
la configuracin. Esta copia se guarda en un archivo binario, que puede ser almacenado en el router o
descargado de ella a travs de FTP para su uso futuro. El backup se puede utilizar para restaurar la
configuracin del router, tal y como era en el momento de creacin de copia de seguridad.
Cdigo:
[admin@MikroTik]
[admin@MikroTik]
[admin@MikroTik]
[admin@MikroTik]
>
> system
/system> backup
/system backup> save name=
Tenemos que ponerle un nombre al archivo, este archivo se crear en el Mikrotik y podr ser
guardado para ser usado si es que quiere volver a un estado de la configuracin. Para este ejemplo
vamos a ponerle el nombre "26_junio_2013" que hace referencia a la fecha donde se ha guardado.
Cdigo:
[admin@MikroTik] /system backup> save name=26_junio_2013
Saving system configuration
Configuration backup saved
Si observamos mediante el winbox veremos que ha sido creado un archivo llamado 26_junio_2013 del
tipo de extensin backup.
Guardando un backup
Bueno ya tenemos el archivo creado, asi que ahora podremos guardarlo en algun lugar de nuestra
computadora, si queremos copiarlo en el mikrotik tenemos que copiar y pegarlo como si fuera
windows.
Cargando un backup guardado
Bueno ya que tenemos un backup (al cual hemos llamado "26_junio_2013") procederemos a cargarlo.
Cdigo:
[admin@MikroTik] /system backup> load name=26_junio_2013.backup
Restore and reboot? [y/N]:
y
Restoring system configuration
System configuration restored, rebooting now
Listo!!! se reiniciar el mikrotik y estar con la configuracin al cual se ha invocado (en este caso el
del backup llamado "26_junio_2013").
Backup manejado por winbox

Otra forma de guardar un backup es mediante el uso del winbox, es mas sencilla ya que solo usamos
unos cuantos clicks, procederemos ha mostrar el procedimiento
Ahora veremos que hay un archivo de nombre "MikroTik-27062013-0955.backup"

Nota: Este es el motivo por el cual no me agrada cuando guardo un backup por esta via, ya que
Mikrotik dar un nombre automticamente, y es un nombre medio raro que no es de facil lectura, a
diferencia de guardarlo por consola en la que uno puede asignarle el nombre que desee.
Para restaurar la configuracion seleccionamos el backup y damos click en RESTORE y el mikrotik se

reiniciar con la configuracin que has seleccionado.
Esta primera parte estamos viendo como guardar toda la configuracin del Mikrotik, pero este tipo de
archivo generado esta encriptado, es decir si vamos al archivo guardado y lo abrimos con el block de
notas nos aparecer esta imagen.
Al estar encriptado todo la configuracin se ver como en chino.
En la proxima parte tocaremos otra forma de guardar los backups...

No es la nica forma de guardar los backups, y estas formas funcionan de distinta manera, ya que no
es para recuperar sino que se usa junto con el terminal o consola, en esta forma puedes seleccionar
que cosa quieres guardar, digamos solo quieres guardar o copiar la configuracion del FIREWALL lo
haces, lo mejor es que puedes observar la configuracin cuando lo abres con el notepad de windows.
Un ejemplo:
Asi que hasta la proxima.
Backup por Consola y Winbox - Creando backups editables
Anteriormente hemos estado viendo que el backup que se ha creado en el mikrotik es un archivo no
editable, este es un archivo binario que no puedes ver que contiene dentro de l, entonces uno si
quisiera leer o saber qu tipo de configuracin contiene deber hacer otro tipo de backup, el cual sea
editable.
Porqu hacer un archivo editable?

1) La primera razn es que cuando creamos un backup editable, este archivo nos permite observar la
toda la configuracin que tiene un servidor mikrotik, as que cuando haya algn problema seamos
capaces de imprimir esta configuracin y pedir ayuda a otra persona, esta persona podr ver la
configuracin y ver en donde podra encontrarse los errores. Con ello nos hace la vida ms sencilla
para solucionar algn tipo de evento que podra fallar.
2) La segunda razn es que nos va a permitir copiar la configuracin que podemos encontrar en
cualquier foro relacionado a Mikrotik y modificarla para nuestro caso.
Comando EXPORT
Para poder hacer este tipo de backup usamos el comando export, este comando produce un archivo
con extensin "src"
Cdigo:
[admin@MikroTik] > export file=configuracion
[admin@MikroTik] >
Vemos dentro de file que existe un archivo creado llamado configuracion con extension rsc
Cdigo:
[admin@MikroTik] > file
[admin@MikroTik] /file> print
# NAME
TYPE
0 skins
directory
19:00:49
1 configuracion.rsc
script
15:29:19
Visto en la winbox aparecer la configuracin
SIZE CREATION-TIME
dec/31/1969
36 659 jun/28/2013
Ahora veremos que hay dentro del archivo, para ello lo bajamos a la computadora y abrimos con el
block de notas
Cuando abrimos el archivo llamado "configuracion.rsc" veremos que hay algo escrito parecido al
siguiente codigo
Cdigo:
# jan/02/1970 04:44:10 by RouterOS 5.22
# software id = 2MGR-VJWJ
#
/interface bridge
add admin-mac=00:00:00:00:00:00 ageing-time=5m arp=enabled auto-mac=yes \
disabled=no forward-delay=15s l2mtu=1598 max-message-age=20s mtu=1500 \
name=LAN priority=0x8000 protocol-mode=none transmit-hold-count=6
/interface ethernet switch
set 0 mirror-source=none mirror-target=none name=switch1
set 1 mirror-source=none mirror-target=none name=switch2
/ip firewall layer7-protocol
/ip hotspot profile
set [ find default=yes ] dns-name="" hotspot-address=0.0.0.0 html-directory=\
hotspot http-cookie-lifetime=3d http-proxy=0.0.0.0:0 login-by=\
cookie,http-chap name=default rate-limit="" smtp-server=0.0.0.0 \
split-user-domain=no use-radius=no
/ip hotspot user profile
set [ find default=yes ] idle-timeout=none keepalive-timeout=2m name=default \
shared-users=1 status-autorefresh=1m transparent-proxy=no
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha1 disabled=no enc-algorithms=3des \
lifetime=30m name=default pfs-group=modp1024
/ppp profile
set 0 change-tcp-mss=yes name=default only-one=default use-compression=\
default use-encryption=default use-mpls=default use-vj-compression=\
default
set 1 change-tcp-mss=yes name=default-encryption only-one=default \
use-compression=default use-encryption=yes use-mpls=default \
use-vj-compression=default
/interface pppoe-client
add ac-name="" add-default-route=yes allow=pap,chap,mschap1,mschap2 \
dial-on-demand=no disabled=no interface=WAN1 max-mru=1480 max-mtu=1480 \
mrru=disabled name=pppoe-out1 password="" profile=default service-name="" \
use-peer-dns=no user=""
add ac-name="" add-default-route=yes allow=pap,chap,mschap1,mschap2 \
dial-on-demand=no disabled=no interface=WAN2 max-mru=1480 max-mtu=1480 \
mrru=disabled name=pppoe-out2 password="" profile=default service-name="" \
use-peer-dns=no user=""....................
Algunos podrn observar que ahroa si pueden leer cosas que se encuentran dentro de el archivo de
backup, esto es bueno para los que quremos saber como esta la configuracion y ayuda a ayudarlos
(disculpen la redundancia).
EL ltimo post trataremos de poder explicarles paso a paso como se puede leer estas configuraciones
que se encuentran dentro de cada archivo de backup.
Por el momento nos vemos hasta la proxima
Leyendo Backups Editables - Bloqueo Youtube y Facebook [Ejemplo]

Hasta aqui hemos visto que los backups se pueden guardar, un ejemplo podra ser que te piden que
como administrador de red lo siguiente:
1) Bloquea a la IP 192.168.1.50 el youtube y el facebook.
Tu no sabes como hacerlo asi que pides ayuda al amigo (al amigo MikrotikPeru de InkaLinux como
hacerlo, nuestro amigo entonces no te va a mandar toooooodo su backup, el solo va a mandar los
scripts en donde se situa lo que pides.
El va a su terminal y va a crear los backups que sean necesarios.
Primero va al nivel de layer7-protocol. Para ello entra a cada nivel donde se ubica la direccion layer7
Cdigo:
[admin@MikroTik]
[admin@MikroTik]
[admin@MikroTik]
[admin@MikroTik]
> ip
/ip> firewall
/ip firewall> layer7-protocol
/ip firewall layer7-protocol>
Una vez ubicado el nivel damos el comando EXPORT para sacar el backup de la configuracion que
necesitamos (es decir no sacamos toooda el backup sino lo que necesitamos y denominamos el
backup con el nombre "ReglasdeLayer7"
Cdigo:
[admin@MikroTik]
/ip firewall layer7-protocol> export file=ReglasdeLayer7
Ahora nos falta bajar el backup de nuestras reglas para bloquear el facebook y youtube que se
encuentran en el firewall filter, entonces vamos al nivel que corresponde al filtro del firewall
Cdigo:
[admin@MikroTik]
[admin@MikroTik]
[admin@MikroTik]
[admin@MikroTik]
> ip
/ip> firewall
/ip firewall> filter
/ip firewall filter>
Y creamos un archivo denominado "ReglasdeFiltrodeFirewall" que es el que contiene el backup de

todas las reglas de filtro que tine el firewall
Cdigo:
[admin@MikroTik] /ip firewall filter> export file=ReglasdeFiltrodeFirewall
Veremos en nuestro winbox que esos dos backups estan creados
Si abrimos el archivo (con un archivo de texto) llamado "ReglasdeLayer7" veremos esto:

Cdigo:
# jul/03/2013 08:32:56 by RouterOS 5.11
# software id = 9E7I-HDC8
#
add name=facebook regexp="^.*(facebook).*\\\$"
add name=youtube regexp="^.*(youtube).*\$"
De igual manera si abrimos el archivo (con un archivo de texto) backup llamado

"ReglasdeFiltrodeFirewall" veremos esto
Cdigo:
# jul/03/2013 08:57:34 by RouterOS 5.11
# software id = 9E7I-HDC8
#
/ip firewall filter
add action=drop chain=forward disabled=no layer7-protocol=facebook \
src-address=10.26.13.218
add action=drop chain=forward disabled=no layer7-protocol=youtube \
src-address=10.26.13.218
Y ahora?!!!
Que hacemos nosotros si ya tenemos el script generado que nos mando nuestro
amigo mikrotikperu por el foro de inkalinux.com
Vimos en el post anterior sobre como podemos guardar backups editables. Ahora vamos a saber mas
sobre lo que podemos guardar como backup.
Vamos a utilizar este post sobre como bloquear youtube y facebook en una red.
Este post lo puedes encontrar en la seccion firewall de este foro.
Cdigo:
add comment="" name=facebook regexp="^.*(facebook).*\$"
Traduccion
La primera linea (esta linea /ip firewall layer7-protocol) nos dice que nos vamos a dirigir a la
seccin IP, en esa seccion nos vamos al nivel FIREWALL y dentro de este nivel hay un subsiguiente
nivel llamado LAYER7. Abajo aparece como seria si copiamos esta linea de comando en el TErminal
del Mikrotik
La segunda linea ( add comment="" name=facebook regexp="^.*(facebook).*\$") nos

dice AGREGAR un REGEX con nombre FACEBOOK sin NINGUN COMENTARIO
Cdigo:
add comment="" name=facebook regexp="^.*(facebook).*\$"
Listo ya lo tenemos, visto por el winbox vemos que ya tenemos la regla que colocamos via terminal.
Lo mismo hacemos con la segunda regla que nos ha enviado

Cdigo:
add comment="" name=youtube regexp="^.*(youtube).*\$"
Hasta aqui todo normal pero en la segunda parte donde se ubica las reglas de firewall vemos esto
Cdigo:
/ip firewall filter
add action=drop chain=forward comment="" disabled=no layer7-protocol=facebook srcaddress=10.26.13.218
Cdigo:
/ip firewall filter

add action=drop chain=forward comment="" disabled=no layer7-protocol=youtube srcaddress=10.26.13.218
La mayora de personas cuando se les manda un codigo script acerca de "como sera la configuracion
que piden" cometen el error de no leer entre lineas que cosas tienen que cambiar y solo copian y
pegan mas no modifican (es ahi su error). Para el ejemplo en el cual estamos trabajando necesitamos
bloquear la IP 192.168.1.50 pero si se fijan bien la IP de nuestro amigo mikrotikperu que tiene en su
red es distinta a la de nosotros. la regla que nos manda de ejemplo es para la Maquina (PC) con
IP 10.26.13.218 asi que nosotros tenemos que cambiar ese dato y poner la IP que nosotros
queremos.
Cdigo:
/ip firewall filter
add action=drop chain=forward comment="" disabled=no layer7-protocol=facebook srcaddress=192.168.1.50
Cdigo:
/ip firewall filter
add action=drop chain=forward comment="" disabled=no layer7-protocol=youtube srcaddress=192.168.1.50
Y asi finalizamos esta seccin de backups. Espero que hayan podido entender mas sobre este tema de
scripts ya que es de mucha ayuda compartir nuestras configuraciones para asi crear mas y mas
reglas.
Tambien con el Pools de servidores Facebook, Si es que tenemos un RB750
Cdigo:
/ip firewall address-list
add address=66.220.144.0/21 comment="Facebook block AS32934" disabled=no \
list=Block-Facebook
add address=66.220.152.0/21 disabled=no list=Block-Facebook
add address=66.220.144.0/21 comment="Facebook block AS32934" disabled=no \
list=Block-Facebook
add
add
add
add
add
add
add
add
add
add
add
add
add
add
add
add
add
add
address=31.13.69.0/24 disabled=no list=Block-Facebook

INPUT CHAIN - datos que van HACIA el Mikrotik

Vamos a comenzar trabajando con el firewall de Mikrotik, esto debido a que necesitaremos de
herramientas como las cadenas (chains) para el uso de bloqueos o permisos del firewall con el
exterior o en la misma red interna.
Varios de ustedes habrn visto este tipo de reglas
Cdigo:
/ip
add
add
add
add
firewall filter
chain=input connection-state=invalid action=drop
chain=input connection-state=established action=accept
chain=input protocol=icmp action=accept
chain=input action=drop
En ellas se encuentra el comando INPUT, la mayora solo copia y pega cuando se encuentra algunas
configuraciones, pero esta vez leyendo este post entender mas sobre lo que significa y podr darse
cuenta de lo que copia.
Input Chain
Este proceso llamado "input" se refiere a todo trafico de datos que va como destino al router Mikrotik.
Para entender mejor este concepto haremos un caso explicativo.
Ejemplo 1:
Usted es un administrador de redes y le piden que bloquee el comando ping hacia el Mikrotik. Es decir
el Mikrotik NO RESPONDER a los pineos (Solo el mikrotik, ya que usted podr pinear a otros
dispositivos)
Datos a tomar en cuenta
El Mikrotik tiene la IP privada 192.168.1.1

El Mikrotik tiene la IP pblica 190.235.136.9
Si observan la imagen veran que las peticiones de PING son enviadas (con direccin) al ROUTER, ya
sea desde el internet o desde nuestra red interna. Este tipo de peticiones son procesos en que
involucran la cadena INPUT.
Ping funciona mediante el Internet Control Message Protocol (ICMP).

Vamos a agregar una cadEna input e indicamos el protocolo ICMP y tomaremos como accin
bloquearlo
Cdigo:
/ip firewall filter
add chain=input protocol=icmp action=drop
En el grafico si mandamos ping desde nuestra red interna al Mikrotik no nos responder
De igual manera si enviamos desde el internet HACIA EL MIKROTIK (cuya IP publica es

190.235.136.9), es decir desde fuera de nuestra red, no nos responder
Ejemplo 2:
Ahora nos piden que por nuestra misma red TODOS los dispositivos de nuestra propia red
puedan PINEAR AL MIKROTIK y las IPs que no pertenecen a esa red NO PODRAN PINEAR
AL MIKROTIK, es decir todos los que pertenecen a las IPs:
192.168.1.1
192.168.1.2
192.168.1.3
...
...
192.168.1.254
Solo estas pueden estar permitidos pinear al MIKROTIK, pero TODOS los demas NO.
Como es tedioso poner IP por IP vamos abreviar
192.168.1.0/24 = (representa o es igual) = 192.168.1.X [donde X toma valores desde 1 hasta 254]
Listo las reglas de firewall seran
Cdigo:
/ip firewall filter
add chain=input src-address=192.168.1.0/24 protocol=icmp action=accept
Explicando las reglas.

Debemos crear una primera regla que nos diga PERMITE pinear a la familia de IPs 192.168.1.X y
despues OTRA REGLA que nos diga BLOQUEA todos los dems IPs
Deben recordar que el orden de las reglas en el FIREWALL FILTER se ejecutan por orden, es decir el
orden, se ejecutan las que se situan arriba y despues la de abajo.
Esta primera regla nos indica que toda la red va a poder mandar pineos entre ellos 192.168.1.X
Cdigo:
add chain=input src-address=192.168.1.0/24 protocol=icmp action=accept
ESta segunda nos dice que TODOS los dems IPs bloquealos.
Cdigo:
Ultimo EJEMPLO
Importante!!! Ser utilizado en el proximo POST de chain OUTPUT

Hasta aqui hemos usado solo el protocolo ICMP y no hemos especificado algn puerto. Ahora
usaremos la cadena INPUT con puertos especficos.
Se les da el siguente problema:
Condicin necesario: Utilizando la cadena INPUT
debern PERMITIR el FTP del Mikrotik en toda la RED PRIVADA, es decir 192.168.1.0/24 y a la vez
debern DENEGAR el FTP del Mikrotik a toda RED PBLICA, es decir que denegar a todos los que
esten queriendo entrar desde el internet al FTP de Mikrotik.
Cdigo:
/ip firewall filter
add chain=input src-address=192.168.1.0/24 protocol=tcp dst-port=21 action=accept
add chain=input protocol=tcp dst-port=21 action=drop
Si observan con detenimiento hemos agregado adems del protocolo, el puerto del FTP, que es 21.
En esta ocasin haremos una pausa ya que si bien es cierto tenemos el puerto 21 como puerto a
utilizar para aplicar nuestras reglas, existe siempre preguntas ya que en Mikrotik se tiene dos
opciones para el puerto. Se que es el puerto 21, pero Qu uso? Src Port o Dst Port?
La respuesta es: Cuando uses Input chain usas el dst port debido a que INPUT es cuando hay alguna
peticin desde afuera con direccin de destino al router. Por ello usamos destination-port, que en
abreviaturas es dst-port
Pero debido a que hemos puesto nuestra regla de INPUT CHAIN, deberemos apuntar a un puerto de
destino que en este caso es (destination port = dst-port) puerto de destino 21 (puerto del FTP)
Listo!! hemos permitido que cualquier computadora de nuestra red tenga acceso al FTP del Mikrotik y
bloqueado a cualquiera que este fuera de nuestra red.
OUTPUT CHAIN - datos que salen DESDE el Mikrotik

En el anterior post habiamos visto la cadena INPUT, que es para el caso de cuando haya alguna
informacin o conexion con direccion HACIA el MIKROTIK. Esta regla es muy utilizada ya que nos
evitara algunos ataques. Al finalizar esta seccin veremos un ejemplo de como se protegera a
nuestro firewall de posibles ataques.
Ahora vamos a entender la cadena OUTPUT CHAIN.
La cadena OUTPUT es para cuando haya alguna data que haya sido generada desde nuestro ROUTER
MIKROTIK.
Para entenderlo utilizaremos el ejemplo anterior
Se les da el siguente problema:
Condicin necesario Utilizando la cadena OUTPUT
Debern PERMITIR el FTP del Mikrotik en toda la RED PRIVADA, es decir 192.168.1.0/24 y a la vez
Debern DENEGAR el FTP del Mikrotik a toda RED PBLICA, es decir que denegar a todos los que
esten queriendo entrar desde el internet al FTP de Mikrotik.
Antes vamos a recordara como era resuelto este problema cuando usabamos SOLO la
cadena INPUT.
En el ejemplo del anterior post, se utilizaba la cadena INPUT. Entonces teniamos que tomar la regla
visto desde toda informacin que va HACIA el ROUTER Mikrotik. Por lo que los puertos eran tomados
como puertos de destino.
Cdigo:
/ip firewall filter
add chain=input src-address=192.168.1.0/24 protocol=tcp dst-port=21 action=accept
add chain=input protocol=tcp dst-port=21 action=drop
Pero si utilizamos la cadena OUTPUT tenemos que crear reglas que SALGAN DESDE el Mikrotik
entonces si la informacin tiene direccion desde el Mikrotik hacia afuera serian puertos de origen o en
ingles SOURCE PORT (ya que la informacin nace del Mikrotik. La figura es la siguiente
Entonces el script seria el siguient

Cdigo:
/ip firewall filter
add chain=output src-address=192.168.1.0/24 protocol=tcp src-port=21 action=accept
add chain=output protocol=tcp src-port=21 action=drop
Espero que con este ejemplo hayan entendido la utilizacin de la cadena denominada OUTPUT, como
indique al finalizar este mdulo se utilizar las tres cadenas que existen en el Mikrotik ( INPUT
OUTPUT FORWARD) para crear reglas de proteccion de FIREWALL.
FORWARD CHAIN - datos que pasan A TRAVS del Mikrotik

La cadena FORWARD es usada para procesar paquetes y datos que viajan a travs del Mikrotik, es
decir que NO estan dirigidos haca el Mikrotik (cadena INPUT) NI TIENEN origen en el Mikrotik
(cadena OUTPUT), estos datos pueden estar dirigidos a un servidor de correos, servidor DNS, etc. Es
decir tienen direccin distinta a la del Mikrotik pero que NECESARIAMENTE requieren pasar por el
Mikrotik.
Ejemplo 1
Para este ejemplo ustedes NECESITAN tener esta configuracin en su Mikrotik. Es decir que el
Mikrotik haga de Servidor DNS.
Como Dato el Mikrotik tiene la IP 192.168.1.1 y la red maneja la IP 192.168.1.X [x puede ocupar
valores desde 2 hasta 254].
Para esto necesitamos agregar los DNS (que nuestro proveedor ISP nos ha dado) en el Mikrotik, esto
para que el Mikrotik pueda servir como Servidor DNS
Se le pide como administrador de RED que

1) Todas las computadoras clientes sean obligadas a no usar ningun DNS
2) El unico Servidor que las computadoras pueden usar es el del SERvidor DNS del Mikrotik
Para poder realizar esta tarea vamos a usar la cadena FORWARD para bloquear el puerto 53 y el
protocolo UDP (es el puerto que usan los DNS, adems los DNS usan el protocolo UDP). Asi sera el
script que necesitariamos.
Cdigo:
/ip firewall filter
add chain=forward dst-port=53 protocol=udp action=drop
Si ustedes desean pueden probar hagan lo siguiente:

1) Agregen esta regla a su red
2) Vayan a una computadora cliente y vean que, si la computadora cliente tiene configurado los DNS
que su proveedor ISP les ha dado no va a poder navegar por internet. (para el ejemplo nuestro
proveedor es telefonica del Per y por ello usamos los DNS 200.48.225.130)..
Y la pregunta es: Cul es la IP de nuestro SERVIDOR DNS Mikrotik?

Bueno la respuesta es fcil es la misma IP que tiene nuestro Mikrotik, para el ejemplo que mostramos
es 192.168.1.1
Con el ejemplo que hemos visto podemos observar que la cadena FORWARD puede ser aplicado para
la tarea que nos piden debido a que una computadora cliente cuando pone un DNS de algn
proveedor, necesariamente tiene que pasar A TRAVS del Mikrotik. Es decir NO APUNTA al Mikrotik
sino que apunta algn servidor externo. Por lo que FORWARD se aplica a todo lo que pasa por el
Mikrotik PERO NO AL MISMO MIKROTIK, ya deberiamos saber que si deseamos dirigirnos HACIA el
Mikrotik usariamos INPUT y la cadena OUTPUT apuntara los datos que tienen ORIGEN en el Mikrotik
hacia Afuera.
OTRO EJEMPLO
Otro ejemplo que se encuentra en el foro es el del bloqueo del facebook y youtube.
Estas dos primeras lineas agregan los regexp para el youtube y el facebook, no es de mucho interes
para explicar sobre regexp usados, ya que lo que interesa es la cadena FORWARD. Lo que se puede
decir es que los regexp ayudan a poder bloquear el facebook y el youtube
Cdigo:
add name=facebook regexp="^.*(facebook).*\\\$"
add name=youtube regexp="^.*(youtube).*\$"
Estos dos codigos si son de interes, ya que se encuentran dos cadenas FORWARD, estas dos cadenas
nos dice que bloqueen a cualquier computadora cliente que se dirigan hacia la direccin url del
facebook o youtube, para conectarnos a esas pginas necesitamos pasar A TRAVS del Mikrotik por
ello usamos la cadena FORWARD.
Cdigo:
/ip firewall filter
add chain=forward layer7-protocol=facebook action=drop
add chain=forward layer7-protocol=youtube action=drop
Espero que hayan entendido del uso correcto de la cadena FORWARD, existe otro uso para esta
cadena y se usan con la cadena JUMP, esto ser explicado en el siguiente POST.
JUMP CHAIN - Creando Nuevas Cadenas [Separando Redes]

Por defecto tu tienes solo tres cadenas que vienen con el mikrotik INPUT OUTPUT FORWARD. Lo
mejor del mikrotik es que te permite poder crear tus propias cadenas, esto se consigue con la cadena
JUMP. Tu puedes construirlas y darles el nombre que quieras.
Para ello citaremos un ejemplo que casi siempre me lo piden.
Tenemos un RouterBoard que maneja varias redes
Red1 = 192.168.0.1 [En esta red esta el area de Contabilidad]
Red2 = 10.10.10.1 [En esta red esta el area de Ventas]
El problema es el siguiente:
La Red1 pertenece a una red de Contabilidad y la informacin que tienen es importante y por ende no
quieren que los de la Red2 (que son el area de Ventas) puedan ver esta informacin
Para resolver el problema usaremos la cadena JUMP, ya que vamos a crear nuevas cadenas a las
cuales vamos aplicar despues reglas entorno a ellas
Antes de empezar veremos que por defecto Mikrotik tiene solo tres cadenas
Vamos a crear entonces una nueva cadena llamada "Red1" y lo hacemos con la ayuda de JUMP
Despus de haber creado la cadena "Red1" podemos observar que en la lista aparece junto a las tres
Este es un ejemplo pero ya que necesitamos dos cadenas una llamada "Red1" y otra llamada "Red2"
lo haremos con los comandos de Mikrotik
Con estas dos reglas creamos dos nuevas cadenas llamadas Red1 y Red2, estas hacen referencias a
las dos redes que se manejan y gracias a estas dos nuevas reglas vamos a poder separarlas, y asi
evitar que se miren unas a otras.
Cdigo:
/ip firewall filter
add chain=forward dst-address=192.168.0.0/24 action=jump jump-target=Red1

add chain=forward dst-address=10.10.10.0/24 action=jump jump-target=Red2
Con esto logramos tener control sobre las dos redes y podemos bloquear la comunicacion entre ellas.
Existen varias formas para hacer este tipo de bloqueos pero la idea era explicar para que sirve la
cadena JUMP.
Cdigo:
/ip firewall filter
add chain=Red1 action=drop
add chain=Red2 action=drop
Lo que dice la regla anterior es que cualquier conexion que este fuera de la red a la cual pertenece NO
podr tener acceso. Esta regla es muy rigurosa ya que si tuvieramos un servidor de correos o un
servidor web los bloquear si es que se un cliente del exterior quisiese entrar. Para ello haremos la
regla menos restrictiva usando la cadena JUMP llamada RED1 y RED2
Cdigo:
/ip firewall filter
add chain=Red1 src-address=10.10.10.0/24 action=drop
add chain=Red2 src-address=192.168.0.0/24 action=drop
La primera cadena nos dice que SOLO la red 10.10.10.0/24 ser bloqueada si es que quiere ingresar
a la RED1 (esta es la red 192.168.0.0/24) de igual manera la segunda nos dice que SOLO la red
192.168.0.0/24 ser bloqueada para ingresar a la RED2 (que es la red 10.10.10.0/24).
Como pueden observar podemos hacer mltiples opciones, que tal si necesitamos que ENTRE LAS
REDES SE PUEDA PINEAR solo incluiremos esta regla por encima de todas y despus drop para
bloquear otro tipo de acceso.
Cdigo:
/ip firewall filter
add chain=Red1 src-address=10.10.10.0/24 protocol=icmp action=accept
add chain=Red2 src-address=192.168.0.0/24 protocol=icmp action=accept
ADDRESS LIST - Creando grupos de IP's

Buenos das, despus de haber pasado un periodo de vacaciones empezamos por terminar el capitulo
de FIREWALL FILTER RULES. Como ustedes podran ver dentro del FIREWALL existe la pestaa
llamada ADDRESS LIST.
Address List es una herramiento poderosa que caracteriza a Mikrotik, sta nos da la habilidad de
proveer una lista de direcciones, ya sea una sola o de un grupo de IP's (el cual puede ser un subred
tambin). Pero ustedes se preguntarn Y? bueno esto nos ayuda a poder aplicar reglas a un
cualquier conjunto de IP's que querramos, inclusive a las IP's externas que no pertenecen a nuestra
red, ya sea para bloquearlas, marcarlas, agregarlas a una cadena, etc.
Pero como la teoria no se entiende si no hay practica vamos a desarrollar un par de ejemplos que nos
permitan poder saber a ciencia cierta lo que se puede hacer con este comando.
Ejemplo 1
Hay situaciones donde necesitamos saber que equipos estan entrando a nuestra red, imaginen que
estan trabajando en una empresa y les piden que usted mencione cuantas dispositivos (como
computadoras, ipads, smartphone, etc) ingresan a la red (el router tiene IP 192.168.1.1) en el
periodo de una semana.
Nosotros no sabemos ese dato y no creo que sea buena la idea estar las 24 horas del dia con lapiz y
papel viendo quien ingresa o quien no.
Para ello usaremos el siguiente script
Agregamos una cadena "forward" a la red 192.168.1.0/24, esto representa toda la red, y la accion
que vamos a tomar es la de "add-src-to-address-list" traducido al espaol es agregar al address-list
llamado "LISTA DE IP's"
Cdigo:
/ip firewall filter
add chain=forward src-address=192.168.1.0/24 \
action=add-src-to-address-list address-list="LISTA DE IP's"
Para los que no se han habituado todavia con el TERMINAL de Mikrotik el script se traduce en:
Entonces que es lo que va hacer estas reglas en el firewall, lo que va hacer es agregar a la base de
datos del ADDRESS LIST todas aquellas direcciones IP's que pasan por el Mikrotik, y a este conjunto
de IP's los va a etiquetar con un nombre llamado "LISTA DE IP's".
Si pueden observar despues de algun tiempo se vera en la pestaa ADDRESS-LIST varias IP's. Lo
importante aqui es aprender la lgica de esta regla, en la que
Ejemplo 2
En su trabajo le piden que averigue que computadoras en la red 192.168.1.0/24 estn usando
programas Peer to Peer que se simboliza con P2P.
Como harian eso?. Bueno gracias al mikrotik no habria problema solo seria cuestion de poner lo
siguiente:
Cdigo:
/ip firewall filter
add chain=forward src-address=192.168.1.0/24 p2p=all-p2p \
action=add-src-to-address-list address-list="USAN P2P"
Como habrn visto es el mismo codigo anterior pero con la diferencia que hemos agregado el
termino p2p=all-p2p por lo que ahora solo agregara a los dispositivos que usan P2P.
Ejemplo 3
Como segunda orden le dan que una vez encontrado a los dispositivos que estan bajando P2P, se les
bloquee todo paso a internet y a la red como medida de castigo.
Entonces para ello usaremos el siguiente script
Cdigo:
/ip firewall filter add action=drop chain=forward src-address-list="USAN P2P"
Espero que hayan podido entender el uso del ADDRESS-LIST ya que mas adelante se usaran para
poder dar reglas que nos ayudaran a proteger nuestra Red. Que tengan buenas tardes.
EJEMPLO Protegiendo a Mikrotik de ataques

Mikrotik siempre debe protegerse de ataques o algunos intrusos que quieran apoderarse de tu clave
mikrotik externamente para ello vamos a crear un par de reglas que bloquearemos todo el trafico
Generado desde Internet hacia la LAN.
Para ello nos vamos a New Terminal de mikrotik y pegamos las siguientes reglas:
Esta es la direccion donde se agregaran las reglas:
Cdigo PHP:
/ip firewall filter
como primera regla dejamos pasar todo el trafico 8291 (winbox) desde Internet hacia lan.
Cdigo PHP:
add action=accept chain=input comment="" disabled=no dst-port=8291 in-interface=pppoeout1 protocol=tcp
como segunda dejamos pasar todas las conexiones ya establecidas que se hayan generado en el
mikrotik hacia la publica o wan en este caso practicamente seria el DNS o el Webproxy si es que lo
activan.
Cdigo PHP:
add action=accept chain=input comment="" connection-state=established disabled=no ininterface=pppoe-out1
Como tercera regla dejamos pasar conexiones relacionadas basicamente existen aplicaciones como
puede ser el caso FTP donde la autenticacion la hacen en un puerto y el trafico en otro basicamente
para ello agregamos esta regla.
Cdigo PHP:
add action=accept chain=input comment="" connection-state=related disabled=no ininterface=pppoe-out1

Finalmente cerramos todo para que todo lo que llegue al mikrotik desde WAN - LAN lo descarte.
Cdigo PHP:
add action=drop chain=input comment="" disabled=no in-interface=pppoe-out1
Con estos simples pasos ya tenemos nuestro mikrotik seguro.

Mikro

Cargado por

Información del documentohacer clic para expandir la información del documento

Copyright:

Formatos disponibles

Mikro

Cargado por

Información del documento

Descripción original:

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Mikro

Cargado por

Copyright:

Formatos disponibles

5.

Preparando y configurando las ethernet en RouterBoard RB750 y x86

Entonces seleccionado la MAC de nuestro RB750 y damos en conectar

Nos aparecer una

El esquema de la red ser la siguiente:

Ahora vamos a la interface llamada "ether1" y le cambiamos el nombre a "WAN"

Ahora vamos a la interface llamada "ether2" y le cambiamos el nombre a "LAN"

Para la WAN colocaremos la siguiente IP 192.168.1.200/24

Para la LAN colocaremos la siguiente IP 192.168.10.1/24

Algunos estarn preguntandose: Porqu /24?

Ahora enmascaramos nuestra interfaz WAN

7. Configurar la hora en equipos RouterBoard y equipos x86 - NTP Client

Despues de dar con "enabled" seleccionaremos "unicast"

Listo!! pero falta un paso

Listo ahora si ya una vez seleccionado para la regin Amrica/Lima

8. Ancho de Banda por grupo de IPs y/o Horario y/o Fecha

La segunda regla ser

La segunda regla sera

9. Amarre de MAC e IP - Entendiendo el proceso ARP

Para el ejemplo mostrado:

Lo que vamos hacer es de suma importancia por lo que

Seleccionamos ARP "reply only"

Backup por Consola y Winbox - Guardando Toda la configuracin

Backup - Guardando Toda la configuracin

Cargando un backup guardado

System configuration restored, rebooting now

Backup manejado por winbox

Ahora veremos que hay un archivo de nombre "MikroTik-27062013-0955.backup"

Para restaurar la configuracion seleccionamos el backup y damos click en RESTORE y el mikrotik se

Al estar encriptado todo la configuracin se ver como en chino.

En la proxima parte tocaremos otra forma de guardar los backups...

Asi que hasta la proxima.

Backup por Consola y Winbox - Creando backups editables

Porqu hacer un archivo editable?

Visto en la winbox aparecer la configuracin

Leyendo Backups Editables - Bloqueo Youtube y Facebook [Ejemplo]

/ip firewall layer7-protocol> export file=ReglasdeLayer7

Y creamos un archivo denominado "ReglasdeFiltrodeFirewall" que es el que contiene el backup de

Veremos en nuestro winbox que esos dos backups estan creados

Si abrimos el archivo (con un archivo de texto) llamado "ReglasdeLayer7" veremos esto:

De igual manera si abrimos el archivo (con un archivo de texto) backup llamado

La segunda linea ( add comment="" name=facebook regexp="^.*(facebook).*\$") nos

Lo mismo hacemos con la segunda regla que nos ha enviado

/ip firewall filter

address=31.13.69.0/24 disabled=no list=Block-Facebook

INPUT CHAIN - datos que van HACIA el Mikrotik

El Mikrotik tiene la IP privada 192.168.1.1

Ping funciona mediante el Internet Control Message Protocol (ICMP).

De igual manera si enviamos desde el internet HACIA EL MIKROTIK (cuya IP publica es

Explicando las reglas.

Importante!!! Ser utilizado en el proximo POST de chain OUTPUT

OUTPUT CHAIN - datos que salen DESDE el Mikrotik

Entonces el script seria el siguient

FORWARD CHAIN - datos que pasan A TRAVS del Mikrotik

Se le pide como administrador de RED que

Si ustedes desean pueden probar hagan lo siguiente:

Y la pregunta es: Cul es la IP de nuestro SERVIDOR DNS Mikrotik?

La segunda linea ( add comment="" name=facebook regexp="^.(facebook).\$") nos