Васильев Кирилл

Специальные IPv4-сети в RouterOS 7: фильтры RFC 6890

MikroTik в Красноярске — три практических курса в ноябре 2026!

С 11 по 21 ноября в Красноярске пройдут очные тренинги MikroTik: MTCNA, MTCRE и MTCTCE.

Работаете с MikroTik и хотите не просто знать команды RouterOS, а понимать, как всё работает? Приходите прокачивать навыки сетевого администрирования!

Расписание курсов

11–14 ноября — MTCNA

Базовый курс MikroTik: настройка RouterOS, маршрутизация, Firewall, NAT, VPN, DHCP, Wi-Fi и основы управления трафиком.

Программа и регистрация

16–18 ноября — MTCRE

Продвинутая маршрутизация: OSPF, несколько интернет-провайдеров (MultiWAN), резервирование каналов, балансировка нагрузки, VPN и VLAN.

Программа и регистрация

19–21 ноября — MTCTCE

Управление трафиком: Firewall, NAT, Mangle, Packet Flow, QoS, очереди и приоритизация трафика.

Программа и регистрация

Почему стоит прийти?

  • Максимум практики на реальном оборудовании MikroTik.
  • Разбираем не только настройки, но и логику работы RouterOS.
  • Реальные инженерные задачи, лабораторные работы и живое общение с тренером.
  • Обучение проводит Кирилл Васильев — сертифицированный тренер MikroTik с 2016 года, практикующий сетевой инженер.
  • Учебные материалы, оборудование, обеды и кофе-брейки включены в стоимость.
  • Возможность пройти несколько курсов подряд со скидкой.

Место проведения: Красноярск, ул. Марковского, 81.

Важно: для участия в MTCRE и MTCTCE необходим сертификат MTCNA. Его можно получить на первом тренинге.

Не ограничивайтесь привычными настройками — научитесь понимать RouterOS и уверенно решать сложные сетевые задачи!

Выбирайте подходящий курс или записывайтесь сразу на всю программу.

Вопросы и запись:
manager@mt-courses.ru

Сайт:
https://mt-courses.ru

Специальные IPv4-сети RouterOS следует брать из актуального реестра IANA. RFC 5735, использованный в ранней версии статьи, заменён системой реестров RFC 6890; состав назначений со временем меняется.

Команды статьи показывают принцип фильтрации в RouterOS 7. Перед применением обновите префиксы по IANA и отдельно определите, какие из них допустимы как source, destination и forwardable в вашей сети.

2002 год2010 год
0.0.0.0/8 «This» Network
10.0.0.0/8 Private-Use Networks
14.0.0.0/8 Public-Data Networks
24.0.0.0/8 Cable Television Networks
39.0.0.0/8 Reserved but subject to allocation
127.0.0.0/8 Loopback
128.0.0.0/16 Reserved but subject to allocation
169.254.0.0/16 Link Local
172.16.0.0/12 Private-Use Networks
191.255.0.0/16 Reserved but subject to allocation
192.0.0.0/24 Reserved but subject to allocation
192.0.2.0/24 Test-Net
192.88.99.0/24 6to4 Relay Anycast
192.168.0.0/16 Private-Use Networks
198.18.0.0/15 Network Interconnect Device Benchmark Testing
223.255.255.0/24 Reserved but subject to allocation
224.0.0.0/4 Multicast
240.0.0.0/4 Reserved for Future Use
255.255.255.255/32 Limited Broadcast		0.0.0.0/8 «This» Network
10.0.0.0/8 Private-Use Networks
127.0.0.0/8 Loopback
169.254.0.0/16 Link Local
172.16.0.0/12 Private-Use Networks
192.0.0.0/24 IETF Protocol Assignments
192.0.2.0/24 TEST-NET-1
192.88.99.0/24 6to4 Relay Anycast
192.168.0.0/16 Private-Use Networks
198.18.0.0/15 Network Interconnect Device Benchmark Testing
198.51.100.0/24 TEST-NET-2
203.0.113.0/24 TEST-NET-3
224.0.0.0/4 Multicast
240.0.0.0/4 Reserved for Future Use
255.255.255.255/32 Limited Broadcast

Прошлое изменение было 2002 и 2010 году, если такой срок подпадает под “иногда” — то годиться. Перерыв в 8 лет и сейчас уже прошло 12 лет.

В данный момент ТОЛЬКО идёт обсуждение об использование 0.0.0.0/8, т.е. с огромным скрипом тут что-то может поменяться.

Ближе к делу.

Все сети которые попадают под RFC5735 мы не должны добавлять в таблицу маршрутизации от ebgp пиров.

/routing filter rule
add chain=RFC5735 rule="if (dst in 0.0.0.0/8) {reject;}"
add chain=RFC5735 rule="if (dst in 10.0.0.0/8) {reject;}"
add chain=RFC5735 rule="if (dst in 127.0.0.0/8) {reject;}"
add chain=RFC5735 rule="if (dst in 169.254.0.0/16) {reject;}"
add chain=RFC5735 rule="if (dst in 172.16.0.0/12) {reject;}"
add chain=RFC5735 rule="if (dst in 192.0.0.0/24) {reject;}"
add chain=RFC5735 rule="if (dst in 192.0.2.0/24) {reject;}"
add chain=RFC5735 rule="if (dst in 192.88.99.0/24) {reject;}"
add chain=RFC5735 rule="if (dst in 192.168.0.0/16) {reject;}"
add chain=RFC5735 rule="if (dst in 198.18.0.0/15 ) {reject;}"
add chain=RFC5735 rule="if (dst in 198.51.100.0/24) {reject;}"
add chain=RFC5735 rule="if (dst in 203.0.113.0/24) {reject;}"
add chain=RFC5735 rule="if (dst in 224.0.0.0/4) {reject;}"
add chain=RFC5735 rule="if (dst in 240.0.0.0/4) {reject;}"
add chain=RFC5735 rule="if (dst in 255.255.255.255/32) {reject;}"
add chain=RFC5735 rule="return;"

Простым jump-ом заходим в цепочку, в конце цепочка вернёт обратно обработку, на следующем за jump-ом правило.

Как проверить результат

  • Сравните address-list с текущим реестром IANA.
  • Примените правила сначала в режиме учёта или на тестовом маршрутизаторе.
  • Проверьте, что служебные сети вашей инфраструктуры не блокируются ошибочно.

Источники и связанные материалы

Команды в статье меняют сетевую конфигурацию. Перед работой сохраните экспорт, подготовьте способ восстановления доступа и применяйте изменения сначала в тестовой среде.

Есть вопросы?
Не стесняйтесь обращаться.

Больше записей