En el contexto del firewall de MikroTik, los “chains” (cadenas) son esencialmente reglas o secuencias de procesamiento a través de las cuales los paquetes de datos pasan para ser inspeccionados y filtrados.

Cada cadena representa un punto específico en el flujo de tráfico a través del router donde los paquetes pueden ser evaluados y manipulados según las reglas definidas por el administrador de la red. Los chains permiten clasificar y controlar el tráfico de manera detallada, ofreciendo una gran flexibilidad y poder en la gestión de la seguridad de la red.

RouterOS de MikroTik define varios chains predeterminados en su firewall para categorizar el tráfico de red en diferentes etapas de procesamiento, como:

1. Input

Este chain procesa los paquetes entrantes dirigidos al propio router. Es útil para controlar quién puede acceder al router y para gestionar los intentos de conexión a los servicios que el router ofrece, como SSH, Winbox, o la interfaz web.

2. Output

Maneja los paquetes que el router genera y envía hacia la red. Usar reglas en este chain puede ser útil para limitar el tráfico de salida desde el router hacia determinados destinos o servicios.

3. Forward

Este chain se ocupa de los paquetes que atraviesan el router, es decir, el tráfico que no está destinado al propio router, sino que simplemente lo atraviesa de una interfaz a otra. Las reglas en este chain son cruciales para implementar políticas de seguridad entre diferentes segmentos de tu red.

4. Prerouting y Postrouting

• Prerouting: Procesa los paquetes tan pronto como son recibidos por el router, antes de que se tome la decisión de enrutamiento. Es útil para alterar paquetes entrantes antes de que sean procesados por las reglas de Input o Forward.
• Postrouting: Se aplica a los paquetes después de que se ha decidido su ruta, permitiendo modificarlos justo antes de ser enviados. Esto es útil para cambiar la dirección de origen de los paquetes para aplicaciones como NAT (Network Address Translation).

Personalización y Creación de Chains

Además de estos chains predefinidos, RouterOS permite a los usuarios crear sus propias cadenas personalizadas para manejar situaciones específicas. Esto agrega aún más flexibilidad al sistema de firewall, permitiendo a los administradores diseñar y aplicar políticas de seguridad muy granulares basadas en sus necesidades específicas.

Las reglas dentro de cada chain se procesan en orden secuencial, desde la primera regla hacia abajo, hasta que un paquete coincide con una regla. Por lo tanto, la organización y el orden de las reglas dentro de un chain son cruciales para el comportamiento deseado del firewall.

Las acciones que se pueden tomar en los paquetes incluyen permitir, rechazar, descartar, entre otras, basadas en criterios como direcciones IP, puertos, protocolos, y más.