БС?

попытки на pptp авторизоваться, и там нет скана, по сути.

5.188 у меня сам по себе в бан попадает, просто совпадение, на сайт ржд и близко не хожу

это Китай, что ли?

4it.me

Узнай

это ВДС в Питере

это Китай, что ли?

Делай по белому списку

Дело в том, что там не только портскан, на самом деле. А ещё вот это: 7:55:21 pptp,info TCP connection established from 5.188.10.176 07:55:21 pptp,ppp,error <1589>: user admin authentication failed 07:55:21 pptp,info TCP connection established from 5.188.10.176

Так это плохой айпишник, который брутит все

Конфиг в студию!

РЖД тут ни при чем

Конфиг в студию!

в инете полно

Ок((

Да РЖД вообще отдельно. Я говорю, что вот то правило наверху почему-то отправляет в отдельную цепочку валидные сайты. То есть, пошёл я на пикабу, потыкал туда-сюда, пооткрывал вкладки, и хоба - один из 3 адресов пикабу в бане

То же самое, если полазить на сайте РЖД

Ок((

/ip firewall filter add action=add-src-to-address-list address-list="port scanners" \ address-list-timeout=2w chain=input comment="Port scanners to list " \ protocol=tcp psd=21,3s,3,1 add action=add-src-to-address-list address-list="port scanners" \ address-list-timeout=2w chain=input comment="NMAP FIN Stealth scan" \ protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg add action=add-src-to-address-list address-list="port scanners" \ address-list-timeout=2w chain=input comment="SYN/FIN scan" protocol=tcp \ tcp-flags=fin,syn add action=add-src-to-address-list address-list="port scanners" \ address-list-timeout=2w chain=input comment="SYN/RST scan" protocol=tcp \ tcp-flags=syn,rst add action=add-src-to-address-list address-list="port scanners" \ address-list-timeout=2w chain=input comment="FIN/PSH/URG scan" protocol=tcp \ tcp-flags=fin,psh,urg,!syn,!rst,!ack add action=add-src-to-address-list address-list="port scanners" \ address-list-timeout=2w chain=input comment="ALL/ALL scan" protocol=tcp \ tcp-flags=fin,syn,rst,psh,ack,urg add action=add-src-to-address-list address-list="port scanners" \ address-list-timeout=2w chain=input comment="NMAP NULL scan" protocol=tcp \ tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg add action=drop chain=input comment="dropping port scanners" src-address-list=\ "port scanners" add action=drop chain=forward src-address-list="port scanners"

а 5.188 уходит в бан заслуженно

Вот что этот негодяй делает

у, короче всю подсеть надо на нуль делить

у меня с тем правилом за сутки 3897 адресов накапало в блок-лист

Я предоставлю это дело скрипту ?

3 правила, на самом деле, но больше всего срабатываний именно по этому

А скан портов как проверяется?

а есть ли вообще смысл со всем этим заморачиваться? ловить сканы портов и т.д.?

да вообще нет, просто чот выбесило, что то ipsec пропозал подбирают, то на pptp появляются TCP сессии.

может проще белый список? пусть даже целыми AS если у клиента динамика

с белым списком опадают сразу Китай, всякие Нидерланды, Канады и прочие ВДС от всяких хостингов

пусть себе долбятся в DROP

вероятность того что кто-то будет ломится от своего же провайдера или другого внесенного в белый список крайне низка

Ковыряюсь тут в скриптах, и чет не выходит организовать запросик на проверку :if (interface enable=ether2) do={ тут просто, тут работает interface bridge port number=6 вот этот надо проверить на инейбл Шестой интерфейс в портах бриджей где тут условие ) нужно 6 порт проверить на включен он или нет

if (/interface ethernet get ether1-WAN running) либо так :if (/interface ethernet get ether3 disabled) Если немного непонятно с булевой логикой то в первом случае true в случае running Во втором true в случае disabled. На enabled нельзя проверить, к сожалению. И прежде чем писать скрипт - проверяй то, что ты пишешь, в консоли микротика

а управление по дефолту должно быть закрыто из мира, совсем закрыто, наглухо

Это-то понятно

Ну просто чё они!

вероятность того что кто-то будет ломится от своего же провайдера или другого внесенного в белый список крайне низка

у меня обычно моя /16 сетка в бане треть списка занимает

А скан портов как проверяется?

все, что не моё, уходит в этот список

login failure for user alex from 58.59.2.26 via ssh

Охереть, какая-то мразота пытается под моим логином подключаться

спалили где то

Я буду дико орать если на исходниках моих скриптов ?

алексов не трудно спалить

у знакомого лехи фряху тоже с алексом брутили

после этого он поменял логин

Из нестандартных логинов еще был sherzad420 и mmcgowan

ну теперь их можешь тоже менять

Из нестандартных логинов еще был sherzad420 и mmcgowan

ору...

alex давно стандартный логин

На моем тике тоже алексом пробовали

И не только алексом

Почему tcp connection state = established, если комп за натом, который устанавливал соединение, уже со вчера оффлайн?)

А вообще по хорошему, все закрывать из вне и оставлять только доступ по l2tp+IPsec. А там и делай все что вздумается.

Почему tcp connection state = established, если комп за натом, который устанавливал соединение, уже со вчера оффлайн?)

Timeout смотри

Нет

не будешь смотреть?

А вообще по хорошему, все закрывать из вне и оставлять только доступ по l2tp+IPsec. А там и делай все что вздумается.

Будут периодически подбирать шифрование ipsec

И тут поможет карающий скрипт

Будут периодически подбирать шифрование ipsec

Я пока что неуловимый Джо

Будут периодически подбирать шифрование ipsec

по возможности доступ только с белосписочных адресов

Лучше скриптом очишать жуликов)

Лучше скриптом очишать жуликов)

Поделишься скриптом?

Сейчас коммит сделаю как раз)

жуликов лучше очищать крестом и святой водой

ERROR: S client not available

крест потяжелее и на дно освященного озера

жуликов лучше очищать крестом и святой водой

?

никто из вас абузы не писал на таких жуликов?

А зачем собсна?

У них работа такая

делать мир чище

Пробуй

ну я писал

Успешно?

когда видел что с российских ип ко мне ломятся

вполне

правда логи требуют

типа своих нет

Исход?

Поделишься скриптом?

https://github.com/teckerpro/MikroTik-IPsecBan

исход не котролировал

вроде кто-то отписывался, что приняли меры

на это время нужно. и так потратил чтобы абузы сочинять

https://github.com/teckerpro/MikroTik-IPsecBan

Нонстоп работает?

Ну читай ридми же)

Читаю

По шедулеру сам выставляешь

Еще бы можно было чистить буфер так, чтобы не писалось во флеш память

Напишу на сапорт микротика с этим вопросом

как впн-ном можно 2 микрота за серыми адресами связать?

ну кроме дднс

Если оба за серым - никак

Через третий со статическим

ну кроме дднс

А ddns как тут поможет?

А ddns как тут поможет?

+1

ну если адрес не за натом то да

Через третий со статическим

С белым ты хотел сказать?