http://arav.i2p/stuff/article/hardening_mikrotik?lang=ru
Сразу скажу, механизм port-knocking это, конечно, замечательно, но я предпочитаю, всё же, доступ извне ко своей сети заворачивать в VPN. 3.1. Ограничение сканирования портов В RouterOS есть механизм, позволяющий обнаруживать сканнеры портов. Для этого через WinBox в фаерволле для цепочки input и протоколов TCP и UDP нужно добавить правила, где указать in-interface-list=WAN , потом на вкладке Extra раскрыть раздел PSD (Port Scan Detection), где настроить поля.