Защита Mikrotik от внешних угроз

[@Blagovid]

Здравствуйте Роман, очень интересует тематика Микротик, но.. уже не первый раз сталкиваюсь с вашими вебинарами, даже подписан, но в определенные моменты чувствую себя абсолютным нулем, первоклассником на уроке высшей математики. Понимаю что для многих ваших подписчиков моя просьба вызовет насмешки или даже раздражение, но ведь как и в вождении автомобиля, у каждого бывает стадия базового обучения и первый выезд на проезжую часть, раздражающий проезжающих мимо опытных водителей. Есть ли возможность создать плейлист для людей, кто впервые взял в руки Микротик и постепенно осветить всё для начинающих. Все с самых основ. Думаю такой плейлист привлек бы очень много благодарных подписчиков. Спасибо за ответ.

[@viecheslavp4392]

Благодарю за вебинар, просто получаю удовольствие от просмотра! Всех благ, успехов! :)

[@unionrus5458]

Роман, спасибо большое за ваши вебинары. Благодаря вам познакомился с Микротик, внедрил у себя. СПАСИБО!

[@alexwm547]

начало с 07:30

[@karensevantsyan1706]

Растолкуйте плиз: 30:05 вы сказали, что IP Cloud виден за NAT. С точностью как и вы настраиваете - настроил свой микротик (со своим конечно DNS name). Но он у меня пишет "Router is behind a NAT". Где не досмотрел?

[@baxterhunter]

4:09 какой программой и какой скрипт выполняется, что бы смотреть пароль на Микротик? На какие открытые порты он должен смотреть? Роман, спасибо за вэбинары, очень грамотно объясняете.

[@ЛатрПуканов]

После правила разрешающего established,related почему-то не срабатывает цепочка ICMP и последующий дроп

[@mazur_vg]

Согласен со многими комментаторами. Благодаря Вам, я познакомился с mikrotik и научился его настраивать. Это лучшая железка! Столько всего интересного! А ваши видео очень информативные. Пересматриваю их по нескольку раз и каждый раз с новыми знаниями нахожу для себя опять что-то новое!!!

[@Дмитрий90-и1б]

Мощный видос! Спасибо! Рекомендую к просмотру))

[@hristopopov4724]

Drop udp 53 in raw section is better ! The portknock to add ip addresses in withlist to use allowed services is better too :)

[@АндрейФил-я7ъ]

8:50 - 9:45 Несколько раз перемотал и переслушал но так и не понял что имеет приоритет - Available from: в IP Service List или разрешающее вход правило в Firewall Filter?

[@MikrotikTraining]

Сначала firewall, потом ip services. Firewall более производительный и работает на 3 и 4 уровне osi. Ip service - это настройка службы - работает на 7м уровне и менее безопасна. Так же теоретически в настройках ip service могут быть zero day.

[@АндрейФил-я7ъ]

@@MikrotikTraining Спасибо Роман. Да я конечно не знаком с уровнями OSI что уж там кривить душой) и наверное по этому иногда пытаюсь сравнивать "мягкое с теплым", но по экспериментировав с Available from: в IP Service и Address list "Admin" в Firewall, я пришел к мнению что в моем обывательском понимании приоритет все же имеет Available from в IP Service. Если я в IP Service ставлю разрешение на вход только с одного локального адреса, то не важно какие адреса у меня разрешены на вход в Firewall по адрес листу Admin - я все равно смогу зайти только с того что указал в Available from в IP Service! Ну а если в Available from в IP Service оставить поле пустым, то я могу зайти по любому из адресов в Адрес-листе Админ по правилу в Фаерволе, В связи с этим Ваш ответ "Сначала firewall, потом ip services" вводит меня в тупик. Как так то?

[@artemleonov2207]

Спасибо большое, очень много полезной информации, несмотря на отсутствие Микротика в своем окружении.

[@АлександрАкимов-ц1д]

Роман, спасибо за видео. Очень ждал ответа, как распознать зараженный Микротик. Кроме Script list.

[@afromouse9811]

Поставил недавно микротик. По 3-4 долбежбки в день) Первым делом учетку admin рубанул. Спасибо за видео. Буду править еще у себя.

[@Rom4ik.LUHOVKIN]

Я уже увидел, вас… Вы не только обьесняите как все работает но вы проверяете всех кто вас смотрит))))!!!!! Хитро!!!!

[@ne_fakechestno8685]

Роман, спасибо Вам огромное за видеоролики! Очень полезные понятные объяснения! Здесь вы говорили что даже до появления уязвимостей, вы не доверяли винбоксу. Упомянули интерфейс-листы. Что за интерфейс-листы, как это работает, не подскажете? Это же не через веб-интерфейс?

[@4y6puk1]

какими командами попасть в production mode в антенне LTE6 ?

[@kcolin]

Сделал по вашему примеру, и проблема такая, что первый пинг идет через ICMP. после первого остальные идут по input ACCEPT established,related и не ограничиваются в 1 пакет в секунду.

[@kcolin]

не важно выше или ниже input ACCEPT established,related. добавил дроп icmp сразу после правила с лимитом. теперь заработало

[@therealman_tm]

Почему он не настроил цепочку forward?

[@ВладимирХаритонов-в2ж]

50:20 DDoS нет от неё защиты непосредственно на Вашем роутере, так как пакет уже прилетел к Вам на интерфейс и роутеру, а точнее его cpu надо его обработать дроп не дроп не важно, ресурсы cpu на это будут потрачены, эта и есть отказ в обслуживании, то есть забить в полку cpu оборудования. От DDoS защищаются с помощью выше стоящего провайдера, но это уже другая история.

[@Odin.kirill]

Окей берём 20-ядерный Зион, 128гб ОЗУ и 120ссд, покупаем лицензию роутер ос, накатываем на этот комп её и настраиваем все файрвольные правила 😁😁

[@alibaster_odessa]

​@@Odin.kirillтогда ляжет канал связи и перестанут проходить полезные данные среди лишних пакетов до того как завязнет железка... Или вы к нему подключили несколько раздельных каналов по 10гигабит и забыли об этом упомянуть?)

[@АлександрСоболев-щ2н]

Здравствуйте подскажите пожалуйста у меня микротик 941 после грозы перестал раздавать интернет

[@properlo]

Большинство не обновляет роутеры потому тестил уязвимость паролей и нарыл за пол дня около 300 роутеров в соседних странах. Пол дня только потому что диапазон поиска очень большой взял. Делай с ними что хош. Потестил свою сеть пока дырок не нашел. Но год назад ситуация была куда плачевнее. Причем чтоб поиметь пару тысяч устройств надо было всего лишь еще пол дня тщательного поиска нужных инструментов.

[@SWS-LINK]

Отличная подача материала. Мине понравилось ---) Микротик чем то напоминает винроут 20 летней давности, но обросший просто потрясающим функционалом. Подпишусь на Вас, много полезного.

[@ДенисПетров-р7ш]

Добрый день, а как попасть в чат телеграмм ?

[@makstex]

Я для себя ещё оставляю секретную дверь - пингануть роутер определённым размером пакетов (к примеру 70, 80, пару по 90 байт), после чего мой IP попадает в white-list, которому разрешено всё. Естественно white-list первым правилом разрешается, сразу за ним icmp.

[@YDenV]

плиз неучу поясните как сделать пинг как Вы описали. благодарю

[@player-fm6ud]

@@YDenV add action=drop chain=input dst-address=192.168.100.1 dst-port=80 in-interface=bridge1 protocol=tcp src-address=192.168.100.0/24 src-address-list=!WIN add action=jump chain=input dst-address=192.168.100.1 in-interface=bridge1 jump-target=KnockKnockKnock protocol=icmp src-address=192.168.100.0/24 add action=add-src-to-address-list address-list=Gate1 address-list-timeout=10s chain=KnockKnockKnock dst-address=192.168.100.1 in-interface=bridge1 log=yes \ packet-size=329 protocol=icmp src-address=192.168.100.0/24 add action=add-src-to-address-list address-list=Gate2 address-list-timeout=10s chain=KnockKnockKnock dst-address=192.168.100.1 in-interface=bridge1 log=yes \ log-prefix=KNOCK packet-size=429 protocol=icmp src-address=192.168.100.0/24 src-address-list=Gate1 add action=add-src-to-address-list address-list=WIN chain=KnockKnockKnock dst-address=192.168.100.1 in-interface=bridge1 log=yes log-prefix=KNOCK2 \ packet-size=529 protocol=icmp src-address=192.168.100.0/24 src-address-list=Gate2 add action=return chain=KnockKnockKnock из первой ссылки гугла;)

[@player-fm6ud]

@@YDenV Блокируем все поползновения на веб-морду с нашей подсети кроме тех хостов, кто содержится в списке WIN. Все ICMP из нашей подсети перекидываем на цепочку KnockKnockKnock. Если пришёл ICMP-пакет размером 329 на bridge1, то помечаем хост отправитель в список Gate1 на 10 секунд. Если пришёл ICMP-пакет размером 429 на bridge1 и хост-отправитель содержится в списке Gate1, то помечаем хост отправитель в список Gate2 на 10 секунд. Если пришёл ICMP-пакет размером 529 на bridge1 и хост-отправитель содержится в списке Gate2, то помечаем хост отправитель в список WIN на 10 секунд. Возвращаемся из цепочки KnockKnockKnock (в INPUT)

[@YDenV]

@@player-fm6ud сенк

[@properlo]

Спасибо за пример

[@foxyashkin]

41:15 - Судя по слайду правило нужно 8:0, а делаете 0:8.

[@negmatabdull639]

Как перенаправит порты с айпис одного на другой

[@yaroslav103]

а что делать если отключил случайно все сервисы ?

[@capmatuk]

По маку заходить

[@valentin-d8t6u]

Лекция отличная, но прошу простить за 5 копеек, но звук завалите в районе 100гц, сильно бубнит у людей с хорошо передающий низ акустикой. Вы думаю сводили звук в обычные колоночки мелкие, где этой частоты и небыло. Вообще советую у всех лекций просто срезать все что ниже 100 а то и 150

[@cheraboriyds]

чем плохи настройки огненной стены "по умолчанию" ?

[@bouzilla941]

На момент создания видео или на данный момент? Сейчас он более менее вроде

[@cheraboriyds]

@@bouzilla941 да, я про нынешние настройки по умолчанию.

[@benv1]

10:27 оговорка? Хранят же хеш, а не пароли. 12:26 где посмотреть на сайте в описании, что прошивка уязвимая?

[@andrey141-g2e]

1. К сожалению нет, хранили именно пароли в открытом виде. С 6.45 пароли хранятся в зашифрованном виде. 2. Наверняка хз, но как вариант читать ченджлоги для выходящих обновок, там пишут какие уязвимости закрываются.

[@side-watcher]

Вряд-ли они в курсе всех уязвимостей чтоб об них писать и закрывать, так что лучший вариант - закрывать любые порты управления от левых адресов, открывая только себе и другим админам.

[@vsyes1984]

@@andrey141-g2e реально 6.45??? Она же даже не в лонгтерме!? Сейчас последняя 6.44.6

[@andrey141-g2e]

@@vsyes1984 Если быть совсем точным, то 6.45.1. Посмотри ченджлог mikrotik.com/download/changelogs

[@Nataliia.Yurovska]

А можно презентацию? :-)

[@rostdev8523]

в конце видео ссылка

[@Ixxtiander]

@@rostdev8523 нет там ссылки

[@alexfoxberry3681]

У меня Mac OS, без проблем получится настроить Mikrotik?

[@jablochniy7550]

ставишь wine, и через wine открываешь винбокс, ну или через телнет или ссш))

[@alexmint9540]

jablochniyvorishka можно же еще через web настроить?

[@jablochniy7550]

@@alexmint9540 web очень кривая, можно и через телефон (IOS, Android)

[@ZakroyGlaza]

На семерку .. обновляться страшно чота.... Хотя был успешный опыт с заводской тройки на 4.4..*.. Опасаюсь так скать К тому же.. обновлять надо GW.

[@MikrotikTraining]

Мы пока в основном работаем на ros6. Главная проблема - при обновлении можно потерять роутер. Ну и самое безопасное и качественное - обновление через netinstall и последующая настройка через export/руки

[@starikoff72]

создаем аддресс-лист, заталкиваем туда нужные интерфейсы, обозначаем этот лист для дискавери и маквинбокс/мактелнет. Вуаля, закрылись по L2.

[@starikoff72]

Сорян, не досмотрел) Просто это я делаю одним из первых действий

[@MrShamshudinov]

Здравствуйте, а можно поподробнее?

[@starikoff72]

​@@MrShamshudinov /interface/list/ add name=MACServer member/add list=MACServer interface=bridge /tool/mac-server set allowed-interface-list=MACServer mac-winbox/set allowed-interface-list=MACServer

[@dkartashoff]

Включенный MNDP покажет соседей в сети провайдера. Окей. А провайдер должен изолировать соседей?

[@icipher6730]

Всё хорошо, но не могу не докопаться до ерундовой мелочи.) Аббревиатура API не как "апи" произносится, а как eh-pee-eye.

[@arsen-video]

Три четверти универа говорит "апи". Таких как ты - где-то четверть...

[@timurahmedov514]

С торентами луче не бороться, а использовать qos , все полезное в приоритете, не полезное в в минимум. Ни чего нового

[@prezid9586]

А как отсеять все полезное? Особенно после какого-нибудь проксика.

[@1083511]

Взломы по всему миру а ценик не снижают

[@Pu7icat]

точно никто не взламывал микротики? и точно,что только из за не правилтных настроек? CVE-2019-3977 CVE-2018-7445 CVE-2018-14847 можно продолжать и продолжать )))

[@ВладимирХаритонов-в2ж]

42.44 "правило джамп будет проверять только icmp пакеты" круто. Это правило будет проверять все пакеты (ты icmp ты не icmp) и только icmp заворачивать в свою цепочку. Не вводите людей в заблуждение, тем более Вы ведете курсы за деньги.

[@Jora1x]

Вложенная цепочка должна проигнорить проверку, а так без джампа, вся цепочка будет проверять.

[@sirokuza]

всегда юзал веб морду лисички и alt linux

[@Rom4ik.LUHOVKIN]

Я ваше видео включил мой аккаунт перезагрузился походу вы смотрите все аккаунты, благодарю вас, буду держать защиту от вас!!!!

[@player-fm6ud]

Лайк перед просмотром)

[@cubaichik]

Дырявый микрот с ботнетами

[@dekanol022]

какая красивая лапша, жаль настройки только сложные и ,,, поэтапные,,, длинные и тупые,,

[@zl0y]

я сейчас на 4:41 и я понимаю что выступающий включил понты и начинается "писькомер"! Вот смотрите какие у меня скрипты, сейчас будем ломать самый слабый роутер, да я да я! И думаю а по факту интересно как и что можно протюнить чтобы было более безопасно тем более когда у тебя белый ip!

[@Jora1x]

А когда досмотрел дальше, вывод поменял?