🎯 Module 3 : Sécurité et Firewall MikroTik
🔐 1. Introduction au Pare-feu de MikroTik
🔸 C’est quoi un pare-feu ?
Un pare-feu (firewall) est une barrière de sécurité entre votre réseau et Internet. Il contrôle
quelles données peuvent entrer ou sortir de votre routeur.
🔸 Pourquoi utiliser le pare-feu MikroTik ?
Protéger le réseau contre les attaques externes (hacking, virus, etc.)
Contrôler l’accès à certains services (ex : bloquer Facebook ou YouTube)
Limiter ou surveiller les connexions des utilisateurs
🔸 Où se trouve le pare-feu dans MikroTik ?
Dans WinBox :
nginx
CopierModifier
IP → Firewall
Vous verrez plusieurs onglets :
Filter Rules (Règles de filtrage)
NAT (Traduction d’adresse)
Mangle (marquage des paquets)
Raw
Service Ports, etc.
🚦 2. Filtrage de Paquets (Filter Rules)
🔸 Définition :
Le filtrage de paquets consiste à créer des règles qui acceptent ou bloquent les paquets
réseau selon certains critères :
Adresse IP source ou destination
Port
Protocole (TCP, UDP, ICMP)
Interface
🔸 Exemple simple :
Objectif : Bloquer le ping vers votre routeur
1. Allez dans : IP → Firewall → Filter Rules
2. Cliquez sur + pour ajouter une nouvelle règle
3. Onglet General :
o Chain : input
o Protocol : icmp
4. Onglet Action :
o Action : drop (pour bloquer)
5. Cliquez sur Apply puis OK
✅ Résultat : Le routeur ne répondra plus aux pings.
🔸 Chaînes principales (Chains) :
Chaîne Rôle
Input Trafic destiné au routeur lui-même
Forward Trafic qui passe à travers le routeur (entre interfaces)
Output Trafic qui sort du routeur lui-même
🔍 3. Connexion Tracking (Suivi de connexion)
🔸 Définition :
Connection Tracking (conntrack) est une fonction du firewall qui garde la trace des
connexions établies (TCP, UDP, etc.).
Cela permet de :
Distinguer les paquets nouveaux (new), établis (established), relatifs (related) ou
invalides (invalid)
Créer des règles intelligentes et efficaces
🔸 États de connexion :
État Description
new Début d’une nouvelle connexion
established Connexion déjà en cours
related Connexion liée à une existante (ex : FTP passif)
invalid Paquet corrompu ou mal formé
🔸 Exemple d’utilisation :
Autoriser seulement les connexions établies ou relatives vers le routeur :
1. IP → Firewall → Filter Rules → +
2. Onglet General :
o Chain : input
o Connection State : established, related
3. Onglet Action :
o Action : accept
4. Cliquez sur Apply puis OK
✅ Résumé du Module
Fonction Description brève
Firewall MikroTik Outil de sécurité intégré
Filter Rules Permet d’autoriser ou bloquer certains paquets
Conntrack Permet de suivre et classifier les connexions réseau
🔹 Exercice 1 : Bloquer le ping vers le routeur
🔧 But : Empêcher les gens de faire un ping vers votre routeur.
Étapes :
1. Allez dans IP → Firewall → Filter Rules
2. Cliquez sur +
3. Onglet General :
o Chain : input
o Protocol : icmp
4. Onglet Action :
o Action : drop
5. Cliquez sur OK
👉 Résultat : Le routeur ne répond plus au ping.
🔹 Exercice 2 : Autoriser uniquement les connexions établies
🔧 But : Ne permettre que les connexions déjà actives ou normales.
Étapes :
1. IP → Firewall → Filter Rules → +
2. Onglet General :
o Chain : input
o Connection State : established, related
3. Onglet Action :
o Action : accept
4. Cliquez sur OK
👉 Résultat : Le routeur bloque les connexions inconnues.
🔹 Exercice 3 : Bloquer un utilisateur
🔧 But : Bloquer Internet à l’utilisateur [Link]
Étapes :
1. IP → Firewall → Filter Rules → +
2. Onglet General :
o Chain : forward
o Src. Address : [Link]
3. Onglet Action :
o Action : drop
4. Cliquez sur OK
👉 Résultat : L'utilisateur ne peut plus aller sur Internet.
🔹 Exercice 4 : Bloquer l’accès à Winbox depuis Internet
🔧 But : Protéger l’accès au routeur en bloquant WinBox (port 8291) depuis ether1.
Étapes :
1. IP → Firewall → Filter Rules → +
2. Onglet General :
o Chain : input
o In. Interface : ether1
o Protocol : tcp
o Dst. Port : 8291
3. Onglet Action :
o Action : drop
4. Cliquez sur OK
👉 Résultat : Personne ne pourra accéder à WinBox depuis Internet.
