用途：在 RouterOS 中编写与整理防火墙规则，覆盖 filter 过滤链、NAT、mangle、address-list 及 interface-list 配置，适合编写规则、配置 NAT、搭建地址列表等场景。
主要能力与要点： 规则按自上而下顺序求值，首个匹配生效，不按优先级。place-before=0 插到顶部，默认 add 追加到底部；accept 规则必须出现在同流量的 drop 之前。add-src-to-address-list、add-dst-to-address-list、log 及 passthrough=yes 等非终结动作不停止求值。
地址列表可作动态选择器，用一条规则覆盖多个 IP；timeout= 的条目自动过期，适合 DoS 黑名单。接口列表用 in-interface-list=/out-interface-list= 减少重复规则。
幂等脚本用注释前缀作标签：先 remove [find comment~"myapp-"] 再添加；不要用 remove [find dynamic=no]，会删除所有静态规则。
连接状态为 new、established、related、invalid、untracked，与 iptables 不同；untracked 只匹配经 raw notrack 标记的包，不匹配 FastTrack 流。FastTrack 绕过 mangle，不要与 mangle 路由标记同时使用。
NAT 示例含 dst-nat 端口转发、redirect 强制 DNS、srcnat masquerade。L7 用 POSIX 正则匹配未加密载荷，开销大应少用；交替写 (a|b|c)，不要写 (a)|(b)|(c)。IPv6 需用独立的 /ipv6/firewall。
限制与资源：未提供价格、平台等信息。附带参考文件 mangle-routing.md、dos-protection.md，相关技能 routeros-fundamentals、routeros-hotspot，以及 rosetta MCP 工具与 MikroTik 文档。