О Firewall простыми словами на примере микротика

Друзья привет. Сегодня на примере микрота хотелось бы попробовать простыми словами рассказать о файерволе. Надеюсь у меня это получится и кто то подчеркнет для себя что то интересненькое, а кто то более скиловый, что то интересное нам посоветует
⚙️ Помощь каналу на дальнейшие проекты:
✔️ BTC: 32nj9pGDtRJGU5BKvU55kfCxxcs9Jkp1hP
✔️ ETH: 0xBFE337F2137d6e7fEd283efEC8CFDdcf41137FC0
✔️ USDT: 0xBFE337F2137d6e7fEd283efEC8CFDdcf41137FC0
✔️ DASH: Xi9wj5qAB3Doq46wi4rmTf6td2gx8rLmSp
⚙️ Наши ресурсы 🌐:
★ Telegram: t.me/safeworld23 ▶
★ РуТуб: rutube.ru/chan... ▶
★ Сайт: bp-kuban.ru ▶
★ VK: public1... ▶
★ Yandex Dzen: dzen.ru/id/600...

[@ВсеобоВсем-я6и6я]

Спасибо, действительно полезный видос для новичков, кто начинает знакомиться с Микротик. У меня вся домашняя сеть построена на Микротик.

[@mass-any_key-lite]

0:03 тебе канал надо назвать "Из мира ЛАМЕРОВ".

[@bpkuban]

Да ты крут "мастер", но тут так не работает, ты или предлагай варианты чтобы всем интересно было или указывай на ошибки ...а просто так ляля .... заблочу

[@moonshade7886]

@@bpkuban забей)

[@progress_evolution]

Привет! Расскажи в каком-нибудь видео о ospf, как ты его настраиваешь на микротик? Как изначально делаешь связность роутеров, нужен ли gre для ospf

[@LinuxbyDmitry]

Что-то я мысль упустил). Зачем делать чёрный список, который банит на конкретном порту?) DROP так или иначе будет работать на неправильном порту, а так мы ещё и память будет тратить на это). Порткнокинг как по мне самое надёжное будет, правда надо бы сделать правила которые будут исключать злоумышленников из списка порткнокинг, если они будут стучаться на разные порты вне правильном порядке, я такое показывал у себя на канале на чистом nftables).

[@bpkuban]

ну смотр у меня были случаи когда пытается обрабатывать именно один белый ip, конкретно один ip долбит, вот для таких случаев я и делаю хотя бы одну ловушку по известному порту в фаерволе. Это актуально когда у тебя как ни крути есть открытые порты на ружу, даже если нестандартные но по ним могут отработать Порткнокинг да вещь прикольная, поэтому разные варианты показал nftables круто, но тут попытался простыми словами показать логику работы простых цепочек, а так это можно было бы и в микроте показать в cli и в iptables.....но это сложнее новечкам в восприятии......

[@LinuxbyDmitry]

@@bpkuban Забыл что хотел спросить по микроту, вроде только помнил)). Микрот вроде напрямую с NetFilter общается, у него нет прослойки iptables или nftables?) В nftables добавили таблицу netdev она работает ещё до raw, я пробовал ддосить и drop делать в filter, raw и netdev, прям большая разница).

[@LinuxbyDmitry]

@@bpkuban Вспомнил)). Вот недавно, меня ддосили на порту 443 без указания домена, просто запросы на порт 443). Состряпал скрипт на bash который выясняет адреса, добавлял всех нарушителей в список, в nftables и делал им drop, почти как у тебя). В итоге оказалось не эффективно, список за пару суток вырос до около 200к адресов, ну и это же VDS там памяти по больше, и вроде как не критично, но мне этого было мало). В итоге я на python запустил ловушку TARPIT, она есть в репах, но именно на питоне вроде как она меньше ресурсов кушает, сейчас список в бан уже не 100-200к адресов, а около просто 50 ). Есть возможность на микроте, отправлять нехороший трафик в TARPIT?)

[@bpkuban]

@@LinuxbyDmitry да микрот думаю напрямую с ядром общается netfilter .....имел ввиду другое....в видосе для простоты объяснял в понятном оконном режиме. Хотя ты в микроте можешь в cli так же писать например add chain=input protocol=tcp dst-port=8989 action=accept comment="WIN" что будет понятно всем кто работает в то й же утилите iptables в линухе Хороший коммент сделал, про тарпит нужно было тоже упомянуть, да такая возможность есть вешать соединения, для любителей посканить и подгадить. Но то как тебя бомбили 200к это круто, мой бы микрот тупо по памяти уже думаю лег. Я кстати на питоне тоже писал утилиты на scapy для tcp и udp флуда многопоточные.....проверял свое железо....когда был микрот 941й подобная атака изнутри сети ложила микрот просто влет (видос помоему даже на канале есть поищи). Снаружи таких налетов у меня не было поэтому интересно было бы послушать админов как правильно с крупным ddos бороться, полагаю когда количество запросов в единицу времени бешенное нужно либо на резервный канал провайдера уходить либо перед твоим добром хардовый файервол стоять должен Е

[@LinuxbyDmitry]

@@bpkuban У меня под ддос попал скажем так не значительный ресурс, которым по сути только я и пользуюсь, поэтому я в праве сделать там очень жёсткие ограничения). Изначально сделал ограничение в 10к соединений, то есть динамический список адресов пополнялся на час и всё что не попадало в этот список, в DROP, поэтому завалить сервер и не удалось изначально). Но правда они постоянно бомбили, да и сейчас пытаются заполнить этот список, что бы остальной трафик уходил в DROP). Сейчас скриптом из логов выясняю нормальные адреса, исключаю их из бан списка для нормального прохождения, ну остальное уже писал, сначала отправлял в DROP, что оказалось не эффективно, а сейчас в TARPIT). Тут как бы и DROP конечно не плохо справляется, если делать его в netdev таблице, но список большой накапливается и не хочу память на это расходовать, поэтому TARPIT лучше, они уже не могут бомбить как им хотелось бы).

[@Dreadlock9000]

Микрот использовать как маршрутизатор и систему безопасности первого эшелона, а далее можно добавить NGFW фаервол. Хорошим вариантом так же будет использовать порт кнокинг, но после попадания в белый список, чтобы разрешалось подключаться к узлу через другой IP, а не на который вы стучитесь.

[@bpkuban]

Спасибо за совет по NGFW, серьезный заслон, но опять же как слаботочник наврятли когда то с ним столкнусь. Думаю это прерагатива админов и ИБ специалистов в более серьезных системах. Скажи есть ли какая ни будь триал версия в софтовом исполнении NGFW, которую можно потестить или оно только в хардовом исполнении?

[@Dreadlock9000]

@@bpkuban Конечно же есть софт для установки на железо либо на виртуалку. Как вариант, на просторах интернета можно найти Kerio control с таблеткой. Либо есть вполне себе не плохой Ideco UTM, который можно использовать с триальной версией в которой почти весь функционал, за исключением Антивируса касперского для вэб трафика и отсутствие правил IPS от лаборатории касперского.

[@kalobyte]

чтобы разрешалось подключаться к узлу через другой IP, а не на который вы стучитесь. чего за бред? через какой другой ип? ты думаеш адреса внешние нахаляву ч то ли дают, чтобы их как попало использовать?

[@Dreadlock9000]

@@kalobyte Кому надо, тот понял о чем речь. Учите матчасть.

[@kalobyte]

@@Dreadlock9000 ну давай, расскажи мне матчасть 🥸

[@moonshade7886]

Круто, кратенько не надо, даже наоборот с большим количеством подробностей)

[@trew91111]

круто! но для меня придётся смотреть несколько раз!) (я про понимание) подскажите как vless конфиг для дома в микротике прописать для обхода блокировок? валяется старенький 952

[@OliverYutu]

Что за прога, где взять ?

[@bpkuban]

смотря про что речь, если реверс шел, то это netcat админы и нехорошие дяди используют, если про софт на питоне, нигде...самописная прога под мои нужды

[@louashby9085]

шрифт на видео капец. ни че ни видать)))