RouterOS使用address-list创建黑白名单事例

在RouterOS通过address-list创建黑白名单有效的进行地址分组和管理，例如建立上网黑白名单，通过白名单和黑名单配置方式做一个事例介绍

白名单事例

在内网有三个IP地址段192.168.10.0/24、192.168.20.0/24和192.168.30.0/24，在ip address查看配置

[admin@MikroTik] /ip/address> print
Flags: X, D - DYNAMIC
Columns: ADDRESS, NETWORK, INTERFACE
#   ADDRESS          NETWORK       INTERFACE
0   192.168.10.2/24  192.168.10.0     ether2
1   192.168.20.2/24  192.168.20.0     ether3
2   192.168.30.2/24  192.168.30.0     ether4

网络中仅允许192.168.10.0/24、192.168.20.88/32、192.168.30.88/32的主机能访问互联网，其他IP地址拒绝访问，首先在/ip firewall address-list创建白名单列表

[admin@MikroTik]>/ip firewall address-list
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.10.0/24 list="whitelist"
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.10.88 list="whitelist"
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.30.88 list="whitelist"

进入/ip firewall filter下配置过滤策略，内部局域网到互联网访问是forward链表，首先匹配允许白名单列表通过

[admin@MikroTik] >/ip firewall filter
[admin@MikroTik] /ip/firewall/filter> add action=accept chain=forward src-address-list="whitelist"

再添加拒绝所有IP通过，注意添加顺序，防火墙是按照顺序执行，规则在优先级越高。

[admin@MikroTik] /ip/firewall/filter>add action=drop chain=forward

黑名单事例

在之前的白名单事例反过来配置，即拒绝不能上网的IP地址，就是黑名单的方式

禁止192.168.20.0/24和192.168.30.0/24访问互联网，创建一个blacklist黑名单

[admin@MikroTik] /ip/firewall/address-list>add address=192.168.20.0/24 list="blacklist"
[admin@MikroTik] /ip/firewall/address-list>add address=192.168.30.0/24 list="blacklist"

在filter下配置过滤策略，内部局域网到互联网访问是forward链表，配匹blacklist的ip地址禁止通过

[admin@MikroTik] /ip/firewall/filter> add action=drop chain=forward src-address-list="blacklist"

注意：默认情况下所有filter链表规则是accept接受通过，因此只需要添加drop丢弃规则，不匹配的IP将会被接受通过

之前我们的策略允许192.168.20.88和192.168.30.88可以访问互联网，那我们需要补充两条规则

[admin@MikroTik] /ip/firewall/filter>add action=accept chain=forward src-address=192.168.20.88
[admin@MikroTik] /ip/firewall/filter>add action=accept chain=forward src-address=192.168.30.88

使用print命令查看filter列表，规则1，2是192.168.20.88和192.168.30.88的允许规则，在规则0后面，肯定不会优先处理

[admin@ MikroTik] /ip/firewall/filter> print
Flags: X - disabled, I - invalid; D - dynamic

0    chain=forward action=drop src-address-list=blacklist log=no
log-prefix=""

1    chain=forward action=accept src-address=192.168.20.88 log=no
log-prefix=""

2    chain=forward action=accept src-address=192.168.30.88 log=no
log-prefix=""

将规则1，2移动到0之前优先处理，通过move命令调整顺序

[admin@MikroTik] /ip/firewall/filter> move 1,2 0

查看修改情况：

[admin@ MikroTik] /ip/firewall/filter> print
Flags: X - disabled, I - invalid; D - dynamic

0    chain=forward action=accept src-address=192.168.20.88 log=no
log-prefix=""

1    chain=forward action=accept src-address=192.168.30.88 log=no
log-prefix=""

2    chain=forward action=drop src-address-list=blacklist log=no
log-prefix=""

当然，192.168.20.88和192.168.30.88可以创建一个whitelist中，添加一条src-address-list规则完成，这样适合较多的白名单IP地址情况。