Я правило с логированием сделал на фаере

Я имею ввиду, коммутатор что-то же должен успеть сказать? Типа, не скучайте, сейчас перезагружусь и буду дальше работать.)))

А потом бах, и вместо конфига флаг )

да щас все школьники уже позапускали PoC. уже поздно по ип банить

Я имею ввиду, коммутатор что-то же должен успеть сказать? Типа, не скучайте, сейчас перезагружусь и буду дальше работать.)))

ниче он не говорит

Хотя стоп это с сурс порта 4786 был SYN

188.123.253.246:4786->IP

подстава ещё в том, что 4786 как со стороны src так и dst может использоваться вполне легетимно любым клиентом, перекрывать его на бордерах наглухо будет не совсем корректно

:F

гг

подстава ещё в том, что 4786 как со стороны src так и dst может использоваться вполне легетимно любым клиентом, перекрывать его на бордерах наглухо будет не совсем корректно

Со стороны src не будет. Со стороны dst теоретически может, а на практике -- кем?

Оставил денай только на дистенейшен

Со стороны src не будет. Со стороны dst теоретически может, а на практике -- кем?

почему не будет? Я сейчас ради интереса глянул, у некоторых клиентов по этому порту есть явно легетимный трафик типа клиент:4786-какой-то хост:443

это помимо теории что приложения начинают при обращениях в сеть открывать сокеты с 1025го(?) порта и выше по порядку, так что где-то по счёту и 4786 прийдётся

почему не будет? Я сейчас ради интереса глянул, у некоторых клиентов по этому порту есть явно легетимный трафик типа клиент:4786-какой-то хост:443

Ephemeral port range начинается с 32768

это помимо теории что приложения начинают при обращениях в сеть открывать сокеты с 1025го(?) порта и выше по порядку, так что где-то по счёту и 4786 прийдётся

Это не теория. WinXP так и делал. Но его уже нет (а там, где есть, там сами себе злобные Буратины, у них 50% Интернета уже не работает)

Ephemeral port range начинается с 32768

С 49152, строго говоря, но тут уже есть нюансы

вообще диапазон 1025+ использовала не только XP и кто его знает чего там у кого осталось и кто чего своё написал.

Это не повод всё это старье продолжать поддерживать. Оно поди про ipv6 тоже не знаэ. То есть все равно скоро на помойку, как ни крути

И уж, кстати говоря, уязвимостей в ем накопилось за это время тоже порядочно.

Картинко вечера, короче

Это не повод всё это старье продолжать поддерживать. Оно поди про ipv6 тоже не знаэ. То есть все равно скоро на помойку, как ни крути

Если вы не в США, конечно же.

Что чатик, как ночь прошла?

Картинко вечера, короче

Именно так))

Ночь прошла как-то так

ДРОЧИШЬ С БУРСЫ ЦИСКУ @ CCNA>CCNP @ МАМА ПОГЛАДИЛА РУБАШКУ, ЗАВЯЗАЛА ГАЛСТУК @ УСТРОИЛСЯ РАБОТАТЬ В МЕСТНОГО ПРОВАЙДЕРА @ ВСЁ КАК ТЫ ЛЮБИШЬ: 2900, 2960, 3750 И ПРОЧ @ ENABLE CONF @ А НАХУЙ, КУПИЛИ Ж 2009 ВСЕ ЗАЕБОК @ #достаточно @ 2017, ММ ХОРОШИЕ ПОДСТАВКИ ПОД КОФЕ И РАБОТАЮТ ХОРОШО, ОБНОВЛЯТЬ НЕ НАДО @ 2018 АЛЛО ЕРОХИН, ЧЕ ЗА ХУЙНЯ @ ЧТО, КАКОЙ ПОРТ, КУДА СМОТРИТ? ОТКУДА Я ЗНАЮ ПОЧЕМУ! @ ЧЁ ЗА SMI? @ ДА КТО ТАМ ПАТЧИЛ, ВЧЕРА ТЕТЯ СРАКА ПЫЛЬ ПРОТЕРАЛА @ В СМЫСЛЕ КОНФИГОФ НЕ ОСТАЛОС? ДА КТО ИХ ТАМ СНИМАЛ, ЗАЕБИСЬ ЖЕ РАБОТАЛО @ ПИШИ "УЯЗВИМОСТЬ, МЫ НЕ ВИНОВАТЫ, АТАКОВАЛИ БОТЫ ХАЦКЕРЫ" @ — ХЭЛЛОУ ДЖЕРЕМИ ВАЗЗАП ПЛИЗ КАЙНДЛИ ХЭЛП — HI DEAR SIR, TRY TO REBOOT ALL OF UR DEVICES @ ХЬЮСТОН, У НАС ПРОБЛЕМЫ @ ОБГОНЯЕШЬ SPACEX НА ЖОПНОЙ ТЯГЕ

мде...

у них щас другие заботы)

Ну блэд, зачем единицы?

Ещё подкину угля

https://geektimes.ru/post/287130/

Но у вас же телнет закрыт да? :)

непойму, порт закрыл, ацли висит (они были и до этого) новое правило в самом верху, старые ниже, по ним счетчики тикают, по блокировки порта нет, и в логе кто то ночью ломился загружать комнфиг мне

через какой интерфейс лезут непонятно

вэхээй, еще больше подкастов :) круть) Спасибо)

через какой интерфейс лезут непонятно

Я на 3845 на все интерфейсы повесил

10 deny tcp any any eq 4786 200 permit ip any any (590366 matches)

несколько же ацл на интерфейс не навесить, на разных интерфейсах разные ацли, в каждый добавлять чет не очень

Я на 3845 на все интерфейсы повесил

Спасибо что вчера у тебя не прошла команда

10 deny tcp any any eq 4786 — почему счетчик пустой?

Внешка закрыта, но я то думал что все ок и изнутри)

10 deny tcp any any eq 4786 — почему счетчик пустой?

Потому что никто не ломает, это внутри. А снаруже у меня микроты фильтруют

iptables

Потому что никто не ломает, это внутри. А снаруже у меня микроты фильтруют

ну у меня почему то счетчик не срабатывет, внешний сервис говорит порт закрыт, НО в логах видно что ломятся

ХМ.

В логах у меня нет пока ни одного срабатывания, все по нулям

На двух бордерах

ну у меня почему то счетчик не срабатывет, внешний сервис говорит порт закрыт, НО в логах видно что ломятся

если постоянно ломятся, попробуй задампить трафик, посмотреть откуда лезут?

ну у меня циска и есть бордер Ж)

если постоянно ломятся, попробуй задампить трафик, посмотреть откуда лезут?

я не знаю с какого направления лезут Ж)

на все интерфейсы не буду миррор вешать

я думал аплинк один, максимум два)

хотя опять дже если постоянно реквесты падают то и по очереди найти можно

ну 3х аплинках ацли есть, но счетчик не срабатывает, в логах Apr 7 00:31:26.148: VSTACK_ERR: !! smi_ibc_dl_handle_events: download not successful

если кто то из внутри ломится

Да, поэтому и навесил ацл везде на всякий случай

Убей естеблишет

TCP

Может оно сидит именно так

что?

как вариант

tcp established

Будет твой фаер проходить

Если уже инициализировано было

sh tcp brief all не показывает такие соединения

там только бгп сессии, и мой ssh

Будет твой фаер проходить

там вроде циска бордер, да и ACL stateless жо, должен сбросить и эстаблишед

когда по тсп же пытаюсь установить соединение с белым ип и портом 4786 , счетчик же должен сработать, не срабатывает, но раньше до правила писал что порт открыт, теперь что закрыт

Кстати да

там вроде циска бордер, да и ACL stateless жо, должен сбросить и эстаблишед

permit tcp any any eq 80 established вот эта хрень как стайтфул вроде работает)

Я такое повдение на 3560 замечал

Счетчик не работает

Убиваешь правило создаешь заново работает счетчик

до понедельника надеюсь доживу, а там поменяю Ж)

а они через уязвимость могут любую команду выполнить, например очистить конфиг, или только по тфтп пытаться загрузиться?

"Говорят, что на ММТС-9 сегодня был сискоконнект афтепати: " забавный коммент с хабра

а фото отчет есть?

ну вот кто то постил

ну эту фотку видел еще вчера

ответы то куда слать?)

ответы то куда слать?)

Победителем назначим того, кто раньше всех пришлёт на info@linkmeup.ru правильный ответ.

спс)

аа где вопросы?

на канале