Перейти из форума на сайт.

НовостиФайловые архивы
ПоискАктивные темыТоп лист
ПравилаКто в on-line?
Вход Забыли пароль? Первый раз на этом сайте? Регистрация
Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR

 Версия для печати • ПодписатьсяДобавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109

Открыть новую тему     Написать ответ в эту тему

Germanus



Silver Member
Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
 
Предыдущие части темы: часть 1, часть 2, часть 3, часть 4
Официальный сайт: https://mikrotik.com
 
Данная тема создана для обмена информацией по вопросам и проблемам настройки MikroTik RouterOS
Тема в варезнике
 
актуальные версии RouterOS:
Stable: 7.14.3 Подробнее... Testing: 7.15rc1
Stable: 6.49.14 Long-term: 6.49.13

актуальная версия SwitchOS: 2.17
актуальная версия WinBox: 3.40 32/64-bit Подробнее...

 
Mikrotik — Плюсы и минусы Подробнее...
Видео-экскурсия по заводу Mikrotik Ltd


FAQ по особенностям и тонкостям MikroTik RouterOS  Перейти



Официальная документация:
  • Англоязычный ОФИЦИАЛЬНЫЙ мануал
  • Алфавитный указатель
  • Официальные статьи пользователей RouterOS
  • для версии 3 http://www.mikrotik.com/testdocs/ros/3.0/
  • для версии 2.9 http://www.mikrotik.com/docs/ros/2.9/
  • RouterOS Packet Flow: http://wiki.mikrotik.com/wiki/Packet_Flow (важно знать для понимания сути происходящего в файрволе и шейпере)
  • Совместимое оборудование
  • Описание изменений в новых версиях RouterOS(+rc)
  • RouterBOOT changelog (изменения в boot-версиях загрузчика RouterOS)
  • Система управления пользователями встроенная в RouterOS (RADIUS server)
  • l7-protos.rsc (примеры L7-filter)


    Официальные ресурсы:
    Форум
    Демо-сайт с веб-интерфейсом системы №1        Подробнее...
    Демо-сайт с веб-интерфейсом системы №2        Подробнее...
    MikroTik User Meeting(Конференции пользователей Mikrotik)        Подробнее...
    "Хардварные решения"
    MikroTik News
    MikroTik related video service
    DESIGNS.MIKROTIK.COM - сервис для брендирования продукции Mikrotik.
    Twitter Mikrotik
    MikroTik Training (Хочешь на тренинг? Получить сертификат?)
    Предыдущие версии RouterOS Подробнее...    История релизов  Подробнее...
    Mikrotik Wireless Link Calculator


    Неофициальная русскоязычная документация    Перейти
    Обсуждение ROS(форумы)    Перейти
    Обзоры продуктов RouterBOARD    Перейти


    Русскоязычные ресурсы интернет-магазинов и блоггеров по настройке и тонкостям Mikrotik:  
     


     

     

     
       


     

     
         
     
     
         
     
     
         
     
     
     



    Смежные ресурсы    Перейти
     
    VPN + OSPF в картинках.
    MikroTik Config Parser
    mikrotik.vetriks.ru

    // текущий бэкап шапки..

  • Всего записей: 4420 | Зарегистр. 08-06-2003 | Отправлено: 11:02 07-03-2019 | Исправлено: alexnov66, 16:26 19-04-2024
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    leshiy_odessa

    Цитата:
    Аргументируйте пожалуйста?  

    Да хотя бы тот же RDP как собираетесь защищать ? Какими средствами ? Самим микротом или программами ?

    Всего записей: 297 | Зарегистр. 12-07-2008 | Отправлено: 22:45 26-12-2019
    discoveros

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    [/q]
    [q]leshiy_odessa
     
    Во первых о какой конкретно версии RouterOS говорится не понятно, в разных версиях разные дефолтные настройки.
    Во вторых понятие безопасность достаточно объемное и включает в себе много чего. А главное за что должна отвечать безопасность - это ответить на вопрос безопасность от чего? Это безопасность серфинга в интернете, публикация ресурсов, от взлома, подбора паролей и т.д. и т.п.

     
    Говорится о последней стабильной версии на данный момент для Hex. Под безопасностью я имел в виду базовую безопасность, которую устройство сможет обеспечить всем подключенным через него ПК в локальной сети. Из внешки нужен только RDP, что его нужно вешать на другой порт и прятать за VPN, я в курсе. Так вот, еще раз спрошу, отключив все не нужное (Telnet, SSH и т.д.), переименовав админа, сделав сложный пароль, насколько надежно все это будет работать на постоянном белом IP?

    Всего записей: 77 | Зарегистр. 09-09-2008 | Отправлено: 17:13 27-12-2019
    leshiy_odessa



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    anton04

    Цитата:
    Во вторых понятие безопасность достаточно объемное и включает в себе много чего.

    Вы утка. Вам понятен уровен моей аргументации? Если да, то тогда вам станет понятен уровень вашей аргументации.
     
    HERSOFT

    Цитата:
    Да хотя бы тот же RDP как собираетесь защищать ? Какими средствами ? Самим микротом или программами ?

    «Белый список» + DDNS или статический IP.
     
    discoveros

    Цитата:
    Из внешки нужен только RDP, что его нужно вешать на другой порт и прятать за VPN, я в курсе.

    У нас тут спор про дефолтные настройки Firewall. Если вы добавляете RDP, то это уже не дефолт.  
     

    Цитата:
    насколько надежно все это будет работать на постоянном белом IP?

    Пока еще никто не доказал, что могут взломать L2TP + IPSec. Так что вполне рабочая модель проверенная временем. Но... я всё равно перестраховываюсь «белым» списком.  
    На худой конец добавление в «белый» список всего диапазона провайдера или мобильного оператора в десятки раз повышает безопасность. Но вариант с DDNS в «белом» списке + нажатие URL DDNS вполне себе вариант. Или по старинке port knocking.  
     

    Всего записей: 546 | Зарегистр. 23-09-2001 | Отправлено: 18:31 27-12-2019 | Исправлено: leshiy_odessa, 18:33 27-12-2019
    zwe

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Добрый день!
     
    Есть два провайдера (условно, не важно).
     
    Мне нужно клиентов, подключенных через проводной Ethernet отправлять по одному маршруту,
    беспроводных - по другому.
     
    Пока что маршруты выбираются по src ip, а ip прибиваются статическими лизами dhcpd.
    Это требует обслуживания каждого нового клиента.
     
    Хотелось бы один dhcp pool присвоить ether2-local, второй - wlan1.  
    Но не даёт - всё объединено в бридж.
     
    Подскажите, как сделать?

    Всего записей: 42 | Зарегистр. 02-04-2005 | Отправлено: 19:18 27-12-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    всё объединено в бридж

    Значит убрать их оттуда и повесить 2 разных DHCP-сервера туда и сюда. Если нужно, чтобы друг с другом общались - прописать маршруты.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 22:27 27-12-2019
    andreik99

    Advanced Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Добрый день

    Всего записей: 1502 | Зарегистр. 19-06-2008 | Отправлено: 10:24 28-12-2019 | Исправлено: andreik99, 20:49 06-01-2020
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    leshiy_odessa

    Цитата:
    «Белый список» + DDNS или статический IP.  


    Цитата:
    Но вариант с DDNS в «белом» списке + нажатие URL DDNS вполне себе вариант. Или по старинке port knocking.  

    Вот это заморочка. У меня с десяток серверов RDP и то попроще. И ничего. Пытаются ломать, но парочку не верных вводов паролей и в бане на сутки. А то, что RDP вешать на нестандартный порт - так как припарка мёртвому. Сканеры портов ещё не отменяли. Вот от этого и стоит защита от сканеров портов. Тут уже "баня" на 15 суток. Ихмо, чем сложнее защита, там больше шансов самому попасть "в просак". Целенаправленно никто не ломает, если Вы не обслуживаете корпорацию. Так, парочку кулхацкеров и ботов пощупают сеть на уязвимость.

    Всего записей: 297 | Зарегистр. 12-07-2008 | Отправлено: 13:13 28-12-2019
    leshiy_odessa



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    HERSOFT

    Цитата:
    Вот это заморочка.

     
    Это как раз не заморочки, а очень просто и примитивно. А вот когда начинают там лепить всякие BOGON сети, ловушки с черными списками, вот это уже заморочки и идиотизм.

    Всего записей: 546 | Зарегистр. 23-09-2001 | Отправлено: 14:14 28-12-2019
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    leshiy_odessa

    Цитата:
    Это как раз не заморочки, а очень просто и примитивно.

    Примитивно для сисадмина, а для бухгалтера, кому далеко за...это очень сложно. Мои со второго раза с трудом на ярлык попадают мышкой. Они не понимают разницы между полем ввода адреса и поиска. Мне интересно, как Вы реализуете port knocking так, чтобы, удалённый юзер RDP этого не заметил ? Поделитесь опытом, может и я заморочусь с таким решение защиты.

    Всего записей: 297 | Зарегистр. 12-07-2008 | Отправлено: 18:24 28-12-2019
    leshiy_odessa



    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    HERSOFT

    Цитата:
    Примитивно для сисадмина, а для бухгалтера

    Микротик не для бухгалтеров.  
     

    Цитата:
    Мне интересно, как Вы реализуете port knocking так, чтобы, удалённый юзер RDP этого не заметил ? Поделитесь опытом, может и я заморочусь с таким решение защиты.

    Я его никогда не использовал.  
     
    Сейчас я использую DDNS от freedns.afraid.org — Direct URL. Даёте пользователю URL или заносите его в браузер сами. Он его нажимает, DDNS получает IP удаленного пользователя, а Микротик приблизительно через 60 секунд его обновляет и тем самым заносится в список — remote-users
     
    /ip firewall address-list add address=user.firm.pp.ua list=remote-users
    /ip firewall nat add action=netmap chain=dstnat comment=RDP-BOOKER dst-port=44389 in-interface-list=WAN protocol=tcp src-address-list=remote-users to-addresses=172.17.1.11 to-ports=3389
     

    Цитата:
    чтобы, удалённый юзер RDP этого не заметил ?  

    Меня, как системного, меньше всего заботит «заметность» или неудобства для бухгалера. Если у него нет мозга нажать URL, то это в больницу. Но даже в этом случае я могу создать URL с .cmd файлом, который всё автоматизирует. В моём случае бухгалтер ответственный человек (параноик) и эти мелкие нюансы безопасности просто игнорирует.
     

    Всего записей: 546 | Зарегистр. 23-09-2001 | Отправлено: 19:53 28-12-2019 | Исправлено: leshiy_odessa, 20:00 28-12-2019
    HERSOFT



    Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    leshiy_odessa

    Цитата:
    Меня, как системного, меньше всего заботит «заметность» или неудобства для бухгалера. Если у него нет мозга нажать URL, то это в больницу.

    Блин, завидую я Вам белой завистью. Моё начальство наоборот не понимает что такое безопасность и идёт на поводу бухгалтерии. Поэтому я и не понимал и даже не предполагал, что есть фирмы, в которых прислушиваются к мнению сисадмина. Я единственный в нашей фирме, кто умеет читать руководство пользователя и администратора.

    Всего записей: 297 | Зарегистр. 12-07-2008 | Отправлено: 21:00 28-12-2019 | Исправлено: HERSOFT, 21:48 28-12-2019
    zwe

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    in/out-interface matcher not possible when interface (wlan1) is slave - use master instead (bridge-local)
     
    Как заставить соединения Wi-Fi клиентов маршрутизироваться по-другому, чем проводные?
    (не ломая бридж)

    Всего записей: 42 | Зарегистр. 02-04-2005 | Отправлено: 19:33 31-12-2019 | Исправлено: zwe, 19:42 31-12-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    zwe
    Чем вас ответ на предыдущий ваш такой же пост не устраивает?

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 19:38 31-12-2019
    zwe

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Чем вас ответ на предыдущий ваш такой же пост не устраивает?

     
    поломкой бриджа

    Всего записей: 42 | Зарегистр. 02-04-2005 | Отправлено: 19:43 31-12-2019
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    поломкой бриджа

    И какая же катастрофа случится из-за этого?
    Можно в список адресов добавить только "местные" устройства с постоянной пропиской, соответственно все другие IP адреса, не входящие в этот список, считать за гостей и на основании этого маркировать и маршрутизировать трафик.

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 19:57 31-12-2019
    zwe

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору

    Цитата:
    Можно в список адресов добавить только "местные" устройства с постоянной пропиской, соответственно все другие IP адреса, не входящие в этот список, считать за гостей

     
    Гости могут быть и в проводном и в беспроводном сегменте, и маркировка не по принципу известный/неизвестный а проводной/беспроводный.
     
     

    Всего записей: 42 | Зарегистр. 02-04-2005 | Отправлено: 21:31 31-12-2019
    YuraseK

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    Что-то не могу разобраться: можно ли при помощи WinBox в правилах файервола для ICMP указать тип и код?

    Всего записей: 529 | Зарегистр. 12-12-2003 | Отправлено: 00:26 03-01-2020
    vklp

    Junior Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    YuraseK
    Вкладка Advanced - нажмите на ICMP Options

    Всего записей: 132 | Зарегистр. 21-02-2019 | Отправлено: 00:51 03-01-2020
    YuraseK

    Full Member
    Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
    vklp
    Что-то я не вижу там возможности указать для ICMP тип и код.

    Всего записей: 529 | Зарегистр. 12-12-2003 | Отправлено: 10:32 03-01-2020
    Chupaka



    Silver Member
    Редактировать | Профиль | Сообщение | ICQ | Цитировать | Сообщить модератору
    YuraseK
    А что вы там видите?

    Всего записей: 3719 | Зарегистр. 05-05-2006 | Отправлено: 12:09 03-01-2020
    Открыть новую тему     Написать ответ в эту тему

    Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109

    Компьютерный форум Ru.Board » Компьютеры » В помощь системному администратору » MikroTik RouterOS (часть 5)


    Реклама на форуме Ru.Board.

    Powered by Ikonboard "v2.1.7b" © 2000 Ikonboard.com
    Modified by Ru.B0ard
    © Ru.B0ard 2000-2024

    BitCoin: 1NGG1chHtUvrtEqjeerQCKDMUi6S6CG4iC

    Рейтинг.ru