@MikrotikRu
Anton07.06.2017
12:45:28
12:45:28
ты же говорил что под дроп по инупуту часть испмп подпадает. значит что то же тебе шлют. И шлют не потому что ЗАХОТЕЛОСЬ. у железяк вообще нет такого критерия - захотелось. раз послали значит что то произошло.
Да, например такая хуета, как timestamp request. Который не нужен в современных сетях вообще.
Evgeny07.06.2017
12:47:50
12:47:50
Да, например такая хуета, как timestamp request. Который не нужен в современных сетях вообще.
дак он вроде и не ходит в современных сетях вообще.Anton07.06.2017
12:48:17
12:48:17
Ходит. Например, при некоторых типах сканирования nmap.
Но для нормального функционирования сети ICMP type 13, 14 не нужны.
Evgeny07.06.2017
12:48:20
12:48:20
Хотя я хуй знает что для тебя современные
GoogleEvgeny07.06.2017
12:49:15
12:49:15
Ходит. Например, при некоторых типах сканирования nmap.
Но для нормального функционирования сети ICMP type 13, 14 не нужны.
сканирование = синтетическое генерирование, это для тебя ходит?Ходит. Например, при некоторых типах сканирования nmap.
Но для нормального функционирования сети ICMP type 13, 14 не нужны.
от того эти типы и depricated, разве нет?Anton07.06.2017
12:50:06
12:50:06
А я это отрицал?
Evgeny07.06.2017
12:51:07
12:51:07
Да, например такая хуета, как timestamp request. Который не нужен в современных сетях вообще.
Дак они ПОДПАДАЮТ ПОД ИНПУТ потому что ходят, НЕ ХОДЯТ потому что НАХУЙ НЕ НУЖНЫ, ХОДЯТ потому что ИХ КТО-ТО ГЕНЕРИТ, или они УСТАРЕВШИЕ И ИХ НЕТ?Sergey07.06.2017
12:51:47
12:51:47
так в эксельку ркн добавляет сайты?
Anton07.06.2017
12:52:07
12:52:07
Дак они ПОДПАДАЮТ ПОД ИНПУТ потому что ходят, НЕ ХОДЯТ потому что НАХУЙ НЕ НУЖНЫ, ХОДЯТ потому что ИХ КТО-ТО ГЕНЕРИТ, или они УСТАРЕВШИЕ И ИХ НЕТ?
Они нахуй не нужны для функционирования сети. Их генерируют кульхацкеры, из-за чего они и попадают в правила блокировки.Anton07.06.2017
12:52:48
12:52:48
Я изначально говорил лишь одно - в общем случае нет нужны специально разрешать ICMP. Все необходимые сообщения пролезут через RELATED.
Evgeny07.06.2017
12:52:55
12:52:55
Они нахуй не нужны для функционирования сети. Их генерируют кульхацкеры, из-за чего они и попадают в правила блокировки.
и какой же вектор атаки это пораждает. Это было раз. и второе "При чём тут "АТАКИ"?" (с) Anton
Ivan07.06.2017
12:53:26
12:53:26
А еще говорят, что я любитель пофлудить)
Sergey [BHE3AnHO]07.06.2017
12:53:30
12:53:30
Атака деприкейтед протоколами
Anton07.06.2017
12:53:44
12:53:44
Я изначально говорил лишь одно - в общем случае нет нужны специально разрешать ICMP. Все необходимые сообщения пролезут через RELATED.
Если это не попадает в RELATED - значит, данный пакет не является ответным на какое-либо соединение, инициированное мной. Следовательно, такой пакет должен быть отброшен.GoogleSergey [BHE3AnHO]07.06.2017
12:54:50
12:54:50
дропают все подряд, а потом возмущаются, что сообщения от МЧС не доходят
Bsod07.06.2017
12:55:24
12:55:24
и какой же вектор атаки это пораждает. Это было раз. и второе "При чём тут "АТАКИ"?" (с) Anton
а я ведь говорил про ицмп хацкеров!
Anton07.06.2017
12:55:35
12:55:35
Точно так же должны быть отброшены в общем случае пакеты с адресом источника, например, 10.0/8, которые приходят на интерфейс, который смотрит в инет.
Evgeny07.06.2017
12:58:17
12:58:17
Точно так же должны быть отброшены в общем случае пакеты с адресом источника, например, 10.0/8, которые приходят на интерфейс, который смотрит в инет.
и они будут отброшены в дефолтном же конфиге. Где подвох?Anton07.06.2017
12:58:34
12:58:34
Я где-то утверждал, что не будут?
Anton07.06.2017
13:00:04
13:00:04
Точно так же должны быть отброшены в общем случае пакеты с адресом источника, например, 10.0/8, которые приходят на интерфейс, который смотрит в инет.
Но такие марсианские пакеты лучше вообще ещё в raw дропать, дабы не напрягать conntrack лишней работой.Bsod07.06.2017
13:01:24
13:01:24
вас еще не заебало?
Sergiy07.06.2017
13:01:35
13:01:35
уже да
Bsod07.06.2017
13:02:17
13:02:17
ой спасибо ))))))
Anton07.06.2017
13:05:07
13:05:07
https://pastebin.com/HMQr75qy
Вот кусок моего конфига, например.
Vasiliy07.06.2017
13:06:53
13:06:53
не знаю, пообщался с гуглом и в большинстве случаев рекомендация по acceptу icmp 8,11,3,4 делать по отдельности. другое дело, порядок правил. но все же
Ivan07.06.2017
13:07:00
13:07:00
Азазаза
Anton07.06.2017
13:07:29
13:07:29
А по существу?
Bsod07.06.2017
13:07:56
13:07:56
чем тебе серые сети не угодили?
Sergiy07.06.2017
13:08:15
13:08:15
Блин, это уже черезчур
GoogleSergiy07.06.2017
13:08:34
13:08:34
завязывайте ?
Anton07.06.2017
13:08:44
13:08:44
чем тебе серые сети не угодили?
Тем, что их не должно быть на том интерфейсе, который смотрит напрямую в инет, где только реальные адреса.Sergiy07.06.2017
13:09:01
13:09:01
да один хрен
Bsod07.06.2017
13:09:01
13:09:01
add action=drop chain=output src-address-list=bad-net
add action=drop chain=output dst-address-list=bad-net
Sergiy07.06.2017
13:09:07
13:09:07
у прова сетка может быть серой
Sergiy07.06.2017
13:09:29
13:09:29
во вторых итак ответ полетит на шлюз прова. а он уже дропнет
Anton07.06.2017
13:09:43
13:09:43
add action=drop chain=output src-address-list=bad-net
add action=drop chain=output dst-address-list=bad-net
Ага. Сеть 172.16.0/12 у меня не используется, потому дропнута вообще.
А если внимательно посмотреть: 192.168.0/16 - disabled=yes.Bsod07.06.2017
13:10:25
13:10:25
у тебя там дохера сетей
Bsod07.06.2017
13:11:26
13:11:26
угу
Anton07.06.2017
13:11:49
13:11:49
С чем? ?
Ivan07.06.2017
13:12:09
13:12:09
Сужаю оценку до этой конкретной железки. Причём она тупо домашний шлюз.
и очень хочет в сесурити но не знает с чего начать...Sergiy07.06.2017
13:12:24
13:12:24
не перегибай
чего єто? дефолтый шлюз он дефолтный и есть. а если у чела есть 10/8 сеть то итак туда улетит ответ ?GoogleAnton07.06.2017
13:12:47
13:12:47
Слив засчитан.
AdminERROR: S client not available
Evgeny07.06.2017
13:12:49
13:12:49
чего єто? дефолтый шлюз он дефолтный и есть. а если у чела есть 10/8 сеть то итак туда улетит ответ ?
не я про политоту.Anton, ты красавчик. Я рукоплещу.
Заскринь.
Ivan07.06.2017
13:13:21
13:13:21
Evgeny07.06.2017
13:13:57
13:13:57
Bsod07.06.2017
13:14:25
13:14:25
Anton07.06.2017
13:14:43
13:14:43
По существу есть, что сказать?
Bsod07.06.2017
13:15:20
13:15:20
По существу: ты крут, зарезал всё что смог и обезопасил всё что возможно.
Ivan07.06.2017
13:15:23
13:15:23
Bsod07.06.2017
13:15:53
13:15:53
Anton07.06.2017
13:16:14
13:16:14
Не резать ICMP. А разрешать только то, что нужно.
GoogleAnton07.06.2017
13:16:39
13:16:39
Полный конфиг таблицы filter я предоставил. Специально там ничего не режется.
Vasiliy07.06.2017
13:17:05
13:17:05
ок
Vasiliy07.06.2017
13:17:17
13:17:17
сорян :)
Ivan07.06.2017
13:17:53
13:17:53
вот что я обо всём этом думаю
Evgeny07.06.2017
13:18:14
13:18:14
Щас тебе насуют за сравнение SNMP и ICMP
Ivan07.06.2017
13:21:05
13:21:05
Открыть в Telegram