MikroTik RouterOS : durcir l'accès au routeur (chaîne input)

Le routeur mt-agence est joignable depuis Internet (WinBox, DNS, Telnet…). Filtrez le trafic à destination du routeur (chaîne input). L'ordre des règles compte, et une règle de refus mal placée vous coupe l'accès.

1. Liste d'interfaces : /interface list add name=LAN, /interface list member add list=LAN interface=bridge-lan
2. Règles, dans cet ordre (/ip firewall filter add chain=input …) :
   1. connection-state=established,related action=accept
   2. connection-state=invalid action=drop
   3. protocol=icmp action=accept
   4. in-interface-list=LAN action=accept
   5. action=drop (refus de tout le reste, avec éventuellement comment="refus par defaut")
3. Désactivez les services en clair ou inutiles : /ip service disable telnet,ftp,www,api
4. Pourquoi placer « established,related » en premier ? → answer premier <performance|securite|obligatoire>
5. Le DNS du routeur est-il encore joignable depuis Internet ? → answer dns-wan <bloque|ouvert>