顺便说一句，当我设置一个具有面向公众接口的路由器时，我使用以下相关的最佳实践:

1. 重置所有配置设置，取消选中“保持默认设置”
2. 禁用所有非必需服务:
   1. 远程登录
   2. http
   3. https
   4. ftp
   5. api
   6. 安全api
3. 创建admin IP /netmask白名单
4. 将以下防火墙过滤规则添加到列表的开头
   1. 允许所有admin白名单中的ip访问输入链上的tcp 20、21、22、23、80,161,443、8291、8728、8729
   2. 阻断所有对tcp 20、21、22、23、80,161,443、8291、8728、8729的访问
   3. 允许所有admin白名单ip访问输入链上的udp 161
   4. 阻断所有对输入链上udp 161的访问
   5. 允许输入链和转发链的所有已建立的和相关的流量(状态)

这样做的结果是，如果固件升级不小心破坏了其中一个设置，或者我的一个管理员错误地删除或禁用了一个规则，我仍然有另一个可以依靠。

供参考:
Port 20 = FTP数据端口
Port 21 = FTP控制端口
端口22 = SSH
端口23 = Telnet
端口80 = HTTP
端口161 = SNMP
端口443 = https, SSTP(如果你需要创建一个SSTP连接到机器，不要阻止)
端口8291 = winbox
端口8728 = API
端口8729 =安全API

根据应用程序的需要设置防火墙的其余部分。

向过滤器选项卡上的输入链添加一个删除所有规则。

一个小时后，确保你在drop all规则下得到了数据包计数。如果不是，那么在它阻止数据包到达它之前，您已经有了另一个规则，并且它可能是一个配置错误的规则。几乎可以肯定的是，您将在路由器的WAN接口上获得不需要的流量。