Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
Предыдущие части темы: часть 1, часть 2, часть 3, часть 4
Официальный сайт: https://mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
актуальные версии RouterOS:
Stable: 7.14.2 Подробнее... Testing: 7.15b8
Stable: 6.49.13 Long-term: 6.49.10

актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.40 32/64-bit Подробнее...

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd


FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти



Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3 http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9 http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти


    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


     

     

     
       


     

     
         
     
     
         
     
     
         
     
     
     



    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru

    // текущий бэкап шапки..

  • Всего записей: 4418 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: alexnov66, 16:44 27-03-2024
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    седьмая версия вполне работоспособная и лучше сразу перейти на неё.  

    мне нужен гайд настройки L2TP соединения и пресет на Firewall, чтоб закрыть пинги адмику итп, с целью бана
     
    везде либо гайд неполный, либо с оговоркой см сл страницу
    мне не надо сл. страницу, мне надо простое доступное решение
     
    никаких тоннелей и заморочек
     
    кликнул -> подцепился к впн > зашел по рдп к себе на машину
     
    зачем-то все заморочено, причем сделано это намеренно
     
    в quick set - одна галочка, воткнул и впн готов
    однако firewall там базовый - этого мало
     
    окей, захожу в настройки и дальше уже ничего..
     
    стул уже прожег от этого изделия, столько часов - впустую!
     
    я не понимаю:  
    local adress - это локальный адрес железки, допустим 192.168.6.1  
    далее идет DHCP диапазон по 10 адрес положим
    при создании l2tp профиля надо указать локал адрес этой пьющей кровь железки - т.е. х.х.6.1 так?
     
    у меня уже трясет, зачем так все заморачивать?  
    тут же все в 2 клика можно сделать будь там толковые меню
     
    vpn access надо включить в quick set ? если вырубить - ВПН перестает работать
    а нафиг тогда все другие настройки через PPP итд?

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 17:18 21-05-2023 | Исправлено: t1murka, 17:46 21-05-2023
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka
    локал адрес это адрес с которого пытаются подключиться а удалённый адрес это к которому подключаются не зависимо это в внутренней сети или с внешней.
    Также при создании правил указывать локал адрес или удалённый в зависимости какое правило.  
    с 10-20 раза настроите как надо, иначе не научитесь, и забудте вы этот quick set и настраивайте каждый раздел как надо.

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 19:53 21-05-2023 | Исправлено: alexnov66, 19:56 21-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    с 10-20 раза настроите как надо, иначе не научитесь, и забудте вы этот quick set и настраивайте каждый раздел как надо

    это понятно, но нужен гайд нормальный

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 20:13 21-05-2023
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka

    Цитата:
    но нужен гайд нормальный

    полной инструкции я не встречал за 10 лет работы с микротиками, её не существует, в процесе вы будете что то добавлять, что то убирать в настройках, и вам правильно сказали выставлять наружу доступ к микротику плохая идея, только через vpn или только с внутренней сети.

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 20:22 21-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    и вам правильно сказали выставлять наружу доступ к микротику плохая идея, только через vpn или только с внутренней сети.

    да не собираюсь я наружу выставлять его
    буду заходить по впн
     
    мне нужен простой мануал, l2tp с ipsec vpn (вроде работает), но видимо без ipsec  
     
    какая команда посмотреть о всех соединениях в командной строке микрота?
     
    и мне нужен простой пресет firewall, чтоб закрыть все на свете порты

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 20:25 21-05-2023
    Dimsoft

    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    мне нужен простой пресет firewall

    t1murka
    Настройка по умолчанию очень не плоха

    Всего записей: 2750 | Зарегистр. 17-11-2003 | Отправлено: 20:48 21-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Настройка по умолчанию очень не плоха

    надо чтоб все порты были закрыты, включая вебморду и как-то прикрутить дополнительно банилку

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 21:04 21-05-2023 | Исправлено: t1murka, 21:15 21-05-2023
    fly_indiz



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    надо чтоб все порты были закрыты

    ЕЩЁ РАЗ - дефолтный конфиг с дефолтным файрволом - там всё и так закрыто. уже несколько человек об этом сказали.
    Это и есть нужный вам пресет.

    Всего записей: 2611 | Зарегистр. 28-04-2006 | Отправлено: 22:08 21-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Это и есть нужный вам пресет.

    полистал гайды, нигде не было сказано про мастер пароль и про пароль отельных юзверей
     
    по дефолту открыты FTP и прочее, я это закрыл
    мне достаточно winbox после подключения по l2tp
     
    морда снаружи сейчас доступа в тч, ее надо бы закрыть и для этого нужно правило
    а еще правило нужно для создания списка баненых IP и защита от перебора (3 раза неверно)

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 22:40 21-05-2023
    urodliv



    Gold Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka

    Цитата:
    по дефолту открыты FTP и прочее, я это закрыл

    Все работающие службы:

    Код:
    /ip service print

    Просто выключи их.

    ----------
    Очень скоро еда станет совершенно безвкусной, и тогда этот недостаток придётся компенсировать хорошо развитым воображением.

    Всего записей: 6684 | Зарегистр. 29-04-2009 | Отправлено: 22:44 21-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Просто выключи их.

    все вырублено (странная привьюха)

     
    осталось правила в Firewall допилить, не читая 800 страниц

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 00:47 22-05-2023 | Исправлено: t1murka, 00:48 22-05-2023
    fscpsd



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka
    Цитата:
    надо чтоб все порты были закрыты
    Вы излишне параноите, мне кажется. Сам по себе открытый порт не имеет вообще никакого значения. Для того, чтобы данный факт вызывал беспокойство, требуется ещё, как минимум, чтобы 1) этот порт слушала какая-либо служба; 2) эта служба имела какие-либо серьёзные уязвимости, которыми сможет воспользоваться среднестатический хакер; ну и конечно 3) наличие этого самого хакера, который вас найдёт среди сотен миллиардов устройств и начнёт тратить своё время, чтобы вас взломать. Всё это вместе представляет собой крайне маловероятное стечение обстоятельств. А эти постоянные брутфорсы, которые почему-то всех так пугают, — это всё делается исключительно для поиска совсем уж глупых юзеров, у которых логин-пароль "админ/админ", а никакой более-менее сложный уникальный логин-пароль забрутфорсить через веб-морду практически невозможно за хоть сколько-нибудь вменяемый промежуток времени.
     
    Добавлено:
    Ну, я не к тому всё это, чтобы вообще бросить заниматься безопасностью, а к тому, что можно всё это делать не торопясь, без панических атак из-за того, что вас вот прямо сейчас сию секудну взломают, если вдруг какой-нибудь порт закрыть забудете или доступ к админке вдруг окажется открытым со стороны интернета.

    Всего записей: 1729 | Зарегистр. 16-09-2010 | Отправлено: 05:23 22-05-2023 | Исправлено: fscpsd, 05:23 22-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Как минимум веборду надо закрыть

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 10:08 22-05-2023
    anton04



    Silver Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka (пост)
    Цитата:
    Как минимум веборду надо закрыть

     
    Зачем закрывать? Нужно просто сделать ограничение, например для какого-то отдельного IP или только для внутренней сети.

    Всего записей: 2803 | Зарегистр. 14-06-2006 | Отправлено: 13:34 22-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Зачем закрывать? Нужно просто сделать ограничение, например для какого-то отдельного IP или только для внутренней сети.

    все равно буду изредка заходить через winbox
    а вот бан по IP после трех неверных попыток ввода общего ключа и непосредствнено в коробочку было бы неплохо реализовать
    есть настройки?

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 15:40 22-05-2023
    StanislawK

    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka

    Цитата:
    бан по IP после трех неверных попыток ввода общего ключа и непосредствнено в коробочку было бы неплохо реализовать
    есть настройки?
     

     
    есть
     
    https://yandex.ru/search/?text=port+knocking+mikrotik

    Всего записей: 266 | Зарегистр. 23-11-2009 | Отправлено: 17:27 22-05-2023
    alexnov66



    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka

    Цитата:
    а вот бан по IP после трех неверных попыток ввода общего ключа и непосредствнено в коробочку было бы неплохо реализовать

    Ищите в интернете все настройки по каждому разделу и настраивайте, некоторые настройки взаимо связаны с другими.
    К примеру к бану по адресу будут записи динамические которые после перезагрузки теряются, что бы их сохранить и востановить после загрузки так же нужны настройки в шедулере.
    Писать на сам диск микротика плохая идея тем более что на некоторых маленький диск по обьёму, следовательно нужно подключать флэшку к микротику на пару гиг и настраивать запись на неё.
    На вашей железке всего 16 мб что катострофически мало, не ту железку выбрали для таких целей, ставится на неё microSD, на пару гиг будет достаточно что бы на неё сохранять в том числе и бекапы.
    Сохранять надо не только бекапы но и текстовый файл конфига.

    Всего записей: 1195 | Зарегистр. 29-08-2005 | Отправлено: 22:51 22-05-2023 | Исправлено: alexnov66, 23:05 22-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Ищите в интернете все настройки по каждому разделу и настраивайте, некоторые настройки взаимо связаны с другими.
    К примеру к бану по адресу будут записи динамические которые после перезагрузки теряются, что бы их сохранить и востановить после загрузки так же нужны настройки в шедулере.
    Писать на сам диск микротика плохая идея тем более что на некоторых маленький диск по обьёму, следовательно нужно подключать флэшку к микротику на пару гиг и настраивать запись на неё.
    На вашей железке всего 16 мб что катострофически мало, не ту железку выбрали для таких целей, ставится на неё microSD, на пару гиг будет достаточно что бы на неё сохранять в том числе и бекапы.
    Сохранять надо не только бекапы но и текстовый файл конфига.

     
    У меня ничего не работает. Задротство возведенное в культ!
     
    1) Обычная usb флешка подойдет для логов? какой формат?
    2) бэкап через files разве на сохраняет конфиги? зачем он тогда нужен? это же идиотизм
    3) подключился с одного устройства по VPn, где смотреть какой ip ему выдан? в dhcp клиент НИЧЕГО ? каким надо быть отбитым, чтобы куда-то в другое место запихать это
    4) запускаю тоже самое соединение с ПК - меня вчера пускало, сегодня уже на заходит
    даже падла никаких ошибок не выдает
     
    ну нельзя так быть не юзер френдли, ну не до такой же степени!
     
    я не пойму принципа работы
     
    1) есть своя внутренняя сеть
    вида 192.168.6.0
     
    есть сеть VPN пусть будет 10.10.2.0
     
    как они взаимосвязаны? как мне чертов выход в рдп сделать со всем этим?  
    проброс делать ? а нельзя сделать так, чтобы все это миноват и я подключался сразу напрямую к локалке вбивал адрес и заходил ? зачем изъежиства эти?
    все равно же есть ключ ОБЩИЙ, сервисы закрыты, есть еще ключ ЮЗЕРА
    куда еще ?

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 12:14 23-05-2023
    t1murka

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    чудеса да и только
     
    если вбить ключ общий и далее юзерский в 2ltp соединение - ошибка входа
    если сначала общий и уже в процессе коннекта, то пускает

    Всего записей: 69 | Зарегистр. 15-01-2020 | Отправлено: 21:29 23-05-2023 | Исправлено: t1murka, 22:56 23-05-2023
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    t1murka

    Цитата:
    а нельзя сделать так, чтобы все это миноват и я подключался сразу напрямую к локалке вбивал адрес и заходил ?

    Можно. Соединяем два роутера по любому ВПН (хотя бы тот же L2TP, можно без шифрования), настраиваем маршрутизацию между сетями, хотя лучше OSFP или RIP и...всё. Вы в общей сети.

    Всего записей: 291 | Зарегистр. 12-07-2008 | Отправлено: 11:28 24-05-2023
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru