Еще

Это сам делал

Это сам делал

а в чем отличие от https://share.zabbix.com/network_devices/mikrotik/mikrotik-routeros

Может ошибся

Не тот послал. Поищите в ветке - раньше кидал

парни, подскажите как это из-за чего это и как лечится ?

по гуглу сигнал уменьшал, но все также

Доброе утро! Если запустить pppoe скан активные подключения pppoe отвалятся?

День добрый! Господа, буду признателен за помощь. Нужно чуть кастомизировать правила анти-брутфорса smtp и/или imap/pop3. Гребаные китайцы безбожно бомбят сервак и рано или поздно подберут комбинации. Сейчас есть почти стандартная цепочка для обнаружения брутфорса, но в нее попадают еще и нормальные почтари, а-ля яндекс и прочие. Как можно подтюнить правила, может кто занимался подобным?

add action=jump chain=forward comment="anti-bruteforce smtp policy" connection-mark=smtp fragment=no jump-target=smtp-bruteforce-scan \ src-address=!192.168.0.0/24 add action=drop chain=smtp-bruteforce-scan disabled=yes src-address-list=spammer add action=add-src-to-address-list address-list=spammer address-list-timeout=1d chain=smtp-bruteforce-scan src-address-list=\ smtp-stage-3 add action=add-src-to-address-list address-list=smtp-stage-3 address-list-timeout=1m chain=smtp-bruteforce-scan src-address-list=\ smtp-stage-2 add action=add-src-to-address-list address-list=smtp-stage-2 address-list-timeout=1m chain=smtp-bruteforce-scan src-address-list=\ smtp-stage-1 add action=add-src-to-address-list address-list=smtp-stage-1 address-list-timeout=1m chain=smtp-bruteforce-scan

Вот такие правила есть + mangle для маркировки

по идее тут надо именно неудачные попытки логина отлавливать

add action=mark-connection chain=prerouting connection-state=new dst-port=25,465,587 new-connection-mark=smtp passthrough=yes protocol=tcp src-address-list=\ "!VPN subnets"

если SMTP не защещен SSL, попробуйте использовать L7 фаервол

или делайте это на стороне сервера SMTP, через fail2ban, если он на линуксе

Именно, но бОльшая часть соединений идет с TLS и иже с ними

Проблема как раз в том, что это Керио и на винде, с которой я пытаюсь его увезти, но это другая история

У вас используется 25й порт в реальности?

вероятно нет

тогда попробуйте использовать 25 порт для honewpot

хотя клиенты, которые будут пытаться делать автонастройку, могут на него постучать тоже..

вам нужна цепочка - керио - лог сервер - микротик

на одном из МУМ описывали подобное, по моему даже на последнем

Керио должен куда то складывать инфу о неудачных попытках

я тоже пока остановился на варианте небольшого парсера логов, который динамически добавляет ip в блэклист микротика через api

я тоже пока остановился на варианте небольшого парсера логов, который динамически добавляет ip в блэклист микротика через api

по идее так и надо.. стандартный fail2ban так и работает

на линуксе любая программа пишет секьюрити логи

а fail2ban их читает и исходя из настроек меняет фаервол

да, второй почтарь как раз на убунте, там fail2ban решает все проблемы

К заббиксу

В 3.4 заббиксе есть темплейт к микротику штатный

В 3.4 заббиксе есть темплейт к микротику штатный

Обновился с 3.0 на 3.4, че-т не вижу нового шаблона для МТ. Только мой

почему эта anti-bruteforce smtp policy пилится на микроте, а не на стороне smtp сервера?

Обновился с 3.0 на 3.4, че-т не вижу нового шаблона для МТ. Только мой

А если обновляться, да, его нету.

А есть темплейт?

в забиксе есть дефолтный темплейт snmp interfaces , подходит почти для всего

Во время вы отписались)

ну так это же не форум, а чатик. Я мог вообще не увидеть вашего сообщения ))

микротиковский как раз на базе snmp основан

могу выгрузить у себя

могу выгрузить у себя

Было бы здорово

https://share.zabbix.com/network_devices/mikrotik/template-net-mikrotik-snmpv2

хотя он есть у них в официальной репе

сперва надо этот установить, если его нет https://share.zabbix.com/official-templates/template-modules-pack

в 3.4 они много чего добавили, из сетевого оборудования.

почему эта anti-bruteforce smtp policy пилится на микроте, а не на стороне smtp сервера?

Я там выше написал. Kerio Connect древний и возможности его крайне скудны. Как только допилю новый на убунте и добьюсь нормального экспорта писем - сразу забуду его как страшный сон.

ясно, пропустил видимо про древний kerio

в 3.4 они много чего добавили, из сетевого оборудования.

Спасибо за шаблончик. Очень детальный

Всем привет, подскажите пожалуйста а это нормально (на прошивке 6.40.4) когда например 3 порту указываешь мастер порт - 2 , то горит индикация что линк есть соответственно на 3 порту и почему-то на 2...Когда вынимаешь кабель то оба гаснут..

Да, мастер порт всегда активен когда активен любой из портов свитч-группы

Это иногда сбивает с толку

Спасибо! Я за 1 год плотный работы не разу не замечал 😄

Доброго вечера Помниться кто то писал как уменьшить мощность WI-FI на RB951G-2HnD дабы лысым не стать в квартире

Всем привет, подскажите пожалуйста а это нормально (на прошивке 6.40.4) когда например 3 порту указываешь мастер порт - 2 , то горит индикация что линк есть соответственно на 3 порту и почему-то на 2...Когда вынимаешь кабель то оба гаснут..

Отказывайтесь от мастер-слэйв портов. В прошивке 6.41 этот функционал удалён

Отказывайтесь от мастер-слэйв портов. В прошивке 6.41 этот функционал удалён

Как сделать менее жесткий переход? Микроты стоят в разных городах

Ну это Вам проектировать. Вообще-то бридж решает все задачи, которые предоставлял мастер-порт

Большое спасибо @Morgens , @monoceros

Всем привет. Прошу прощения что не по теме, но кто то когда то кидал ссылку на чат в телеге с zabbix, можно повторить?

Ребят, посоветуйте В дом на 3 этаджа нужен вифи. Бюджет 20к, провайдер дает канал по оптике. Посоветуйте оптимальное решение

Что в голову ставить а что как точки использовать?

Hex + 2 hap ac 😜

Ребят, посоветуйте В дом на 3 этаджа нужен вифи. Бюджет 20к, провайдер дает канал по оптике. Посоветуйте оптимальное решение

а из чего дом сделан?

А главное чем отделан

а из чего дом сделан?

Кирпич

Штукатурки много?

Хз

Уже все укатано

Просто смотри штукатурка хорошо гасит вифи

С какого?)

А красный кирпич 5ку у АС схавает

Сохраню на всяк. Но про штукатурку нипанятна

Hap ac

Сохраню на всяк. Но про штукатурку нипанятна

А вот она тоже разная бывает, вплоть до специальной волнозащитной :) но это скорее исключение.

А вот она тоже разная бывает, вплоть до специальной волнозащитной :) но это скорее исключение.

Мб. Я и не спорю)

Hap ac

Прям хочется потестить этот роутер

Коллеги, почему DHCP отрабатывает при следующем правиле? /ip firewall filter add action=drop chain=input protocol=!icmp in-interface-list=local-outlaw

Ребят, посоветуйте В дом на 3 этаджа нужен вифи. Бюджет 20к, провайдер дает канал по оптике. Посоветуйте оптимальное решение

PowerBox + несколько wap/wap ac с улицы в дом

Коллеги, почему DHCP отрабатывает при следующем правиле? /ip firewall filter add action=drop chain=input protocol=!icmp in-interface-list=local-outlaw

Потому что написано "не icmp"

Потому что написано "не icmp"

А что у нас DHCP основан на ICMP?