bloqueio de portas mikrotik

Ola galere!!

estou brincando com um mikrotik e a principio fiz um configurei como um roteador de internet via nat.
quando fui brincar no firewall comecei a quebrar a cabeça.
tentei bloquear a porta 80 e 443 com o chain input. ele não bloqueou nada.
dai tentei logar esse trafego e ele tbm não pegava nada.
ai desabilitei a seleção de porta e deixei logando todo tcp e ele pegava trafego.
ai por descargo na consciência testei bloquear as portas 80 e 443 configurando o chain como forward e ele bloqueou.


alguem poderia me explicar a logica, pois, para mim, se eu dei drop na entrada (input) da porta, nada era pra entrar no router, logo nada poderia transpassar(forward) tbm. (ou será que a logica desses roteadores é diferente que no iptables do linux)