اکنون باید برای کلاینت‌های موجود در LAN نیز یک مجموعه قوانین امنیتی پایه ایجاد کنیم.

/ip firewall filter
  add chain=forward action=fasttrack-connection connection-state=established,related \
    comment="fast-track for established,related";
  add chain=forward action=accept connection-state=established,related \
    comment="accept established,related";
  add chain=forward action=drop connection-state=invalid
  add chain=forward action=drop connection-state=new connection-nat-state=!dstnat \
    in-interface=ether1 comment="drop access to clients behind NAT from WAN"

این مجموعه قوانین شبیه قوانین Chain input است:

• Accept برای Connectionهای Established/Related
• Drop برای Connectionهای Invalid

اما قانون اول از:

action=fasttrack-connection

استفاده می‌کند.

FastTrack باعث می‌شود Connectionهای Established و Related تا حد زیادی از مسیر عادی Firewall عبور نکنند و در نتیجه مصرف CPU کاهش پیدا کند.

قانون آخر نیز تمام Connectionهای جدید از سمت WAN به شبکه LAN را Drop می‌کند؛ مگر اینکه از طریق Destination NAT مجاز شده باشند.

بدون این قانون، اگر مهاجم Subnet داخلی شما را بداند یا حدس بزند، ممکن است بتواند مستقیماً به دستگاه‌های داخلی متصل شود و یک تهدید امنیتی ایجاد کند.