Из практики - лучше не использовать порты, близкие к 3389. По сети рущет огромное количество сканеров в поисках открытых rdp и последующим перебором паролей. Также не рекомендуется ставить порты типа 13389, 23389 и т.д. - раньше это защищало от сканирования, т.к. сканировали только порты поблизости от 3389. Теперь же сразу сканируют и 13389 и 23389, т.к. такой проброс визуально удобен и им пользуется большое количество людей. В сл раз я расскажу как за 5 минут сделать небольшую ids/ips систему средствами только микротика, на коленке и за 5 минут, без использования скриптов. :)

VPN хорошо, но не всегда применим. И не всякий VPN. Например, при доступе с мобильных операторов очень часто не проходит ни pptp, ни l2tp. ПРи этом "голый" RDP работает норм. Также бывает, что нужно настроить доступ с мобильных устройств, например, с планшетов. Настраивать vpn клиента на планшете с каким-нибудь несвежим андроидом - то ещё удовольствие. Также при включении vpn если не накладывать дополнительных ограничений vpn клиент получает доступ во всю сеть, а это "несекьюрно". Еще - при наличии vpn происходит двойное шифрование - сначала RDP шифруется средствами клиента и сервера, затем он еще раз шифруется VPN-тоннелем. Это суперсекьюрно, но явно излишне, и вносит пусть и небольшие, но задержки в работу приложений через RDP. Для решения этих проблем я для своих инсталляций применяю технологию ping knocking. Суть - во все правила dst-nat добавляем на вкладке Advanced - Src. Address List с именем, например, allow_ip. Пишем правила: /ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked protocol=!icmp add action=jump chain=input in-interface=pppoe-out1 jump-target=KnockKnock protocol=icmp add action=add-src-to-address-list address-list=list1 address-list-timeout=10s chain=KnockKnock log=yes packet-size=328 add action=add-src-to-address-list address-list=list2 address-list-timeout=10s chain=KnockKnock log=yes packet-size=728 src-address-list=list1 add action=add-src-to-address-list address-list=allow_ip address-list-timeout=3h chain=KnockKnock log=yes packet-size=528 src-address-list=list2 add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=tcp src-address-list=allow_ip Последнее правило - как пример открытия управления микротиком по винбокс только для адрес листа allow_ip. Если у вас открыто еще что-то - для защиты кнокингом в соответствующие разрешающие правила также нужно добавить src-address-list=allow_ip. Первое правило - из дефолтного файерола, к нему надо добавить protocol=!icmp, иначе технология не работает (угадайте, почему :). Далее идут три правила, создающие отдельную цепочку KnockKnock и анализирующие приходящие пинги на длину пакета. Если приходит пакет длиной 328, затем в течение 10 сек - 728, затем в течение 10 сек - 528 - сорс адрес такого "стучащего" добавляется в адрес лист allow_ip на 3 часа. Время можно указть своё. Длины пакетов - также свои. Подобрать такую последовательность практически нереально, т.к. никакой информации об открытии порта хакер не получает, пока не подберет все три размера, и каждые 10 ссек надо начинать сначала. Ну и - в логе роутера будут видны попытки. Легитимному же пользователю достаточно дать вот такой cmd файл: ping mikrotik_wan_ip_or_dns_name -n 1 -l 300 ping mikrotik_wan_ip_or_dns_name -n 1 -l 700 ping mikrotik_wan_ip_or_dns_name -n 1 -l 500 Обратите внимание, что размер пакета в cmd файле меньше на 28 байт - размер заголовка ip. Комбинации ставьте свои, не ставьте целые сотни, иначе будет легко подобрать. Для мобильный устройств андроид есть бесплатная программа Knock on Ports, в ней все настраивается интуитивно просто. Таким образом получаем роутер, закрытый ото всего мира, и пускающий к себе и в проброс портов dst-nat только после "стука". Можно изменять доступ меняя комбинацию портов и рассылая действующим пользователям новый cmd / комбинацию для Knock on Ports. Недостаток - в отличие от vpn при наличии нарушителя, имеющего доступ к каналу связи, размеры пакетов высвечиваются элементарно wireshark'ом. Пользуйтесь для повышения защищенности своих роутеров.

Вот последнее предложение интересное

VPN хорошо, но не всегда применим. И не всякий VPN. Например, при доступе с мобильных операторов очень часто не проходит ни pptp, ни l2tp. ПРи этом "голый" RDP работает норм. Также бывает, что нужно настроить доступ с мобильных устройств, например, с планшетов. Настраивать vpn клиента на планшете с каким-нибудь несвежим андроидом - то ещё удовольствие. Также при включении vpn если не накладывать дополнительных ограничений vpn клиент получает доступ во всю сеть, а это "несекьюрно". Еще - при наличии vpn происходит двойное шифрование - сначала RDP шифруется средствами клиента и сервера, затем он еще раз шифруется VPN-тоннелем. Это суперсекьюрно, но явно излишне, и вносит пусть и небольшие, но задержки в работу приложений через RDP. Для решения этих проблем я для своих инсталляций применяю технологию ping knocking. Суть - во все правила dst-nat добавляем на вкладке Advanced - Src. Address List с именем, например, allow_ip. Пишем правила: /ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked protocol=!icmp add action=jump chain=input in-interface=pppoe-out1 jump-target=KnockKnock protocol=icmp add action=add-src-to-address-list address-list=list1 address-list-timeout=10s chain=KnockKnock log=yes packet-size=328 add action=add-src-to-address-list address-list=list2 address-list-timeout=10s chain=KnockKnock log=yes packet-size=728 src-address-list=list1 add action=add-src-to-address-list address-list=allow_ip address-list-timeout=3h chain=KnockKnock log=yes packet-size=528 src-address-list=list2 add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=tcp src-address-list=allow_ip Последнее правило - как пример открытия управления микротиком по винбокс только для адрес листа allow_ip. Если у вас открыто еще что-то - для защиты кнокингом в соответствующие разрешающие правила также нужно добавить src-address-list=allow_ip. Первое правило - из дефолтного файерола, к нему надо добавить protocol=!icmp, иначе технология не работает (угадайте, почему :). Далее идут три правила, создающие отдельную цепочку KnockKnock и анализирующие приходящие пинги на длину пакета. Если приходит пакет длиной 328, затем в течение 10 сек - 728, затем в течение 10 сек - 528 - сорс адрес такого "стучащего" добавляется в адрес лист allow_ip на 3 часа. Время можно указть своё. Длины пакетов - также свои. Подобрать такую последовательность практически нереально, т.к. никакой информации об открытии порта хакер не получает, пока не подберет все три размера, и каждые 10 ссек надо начинать сначала. Ну и - в логе роутера будут видны попытки. Легитимному же пользователю достаточно дать вот такой cmd файл: ping mikrotik_wan_ip_or_dns_name -n 1 -l 300 ping mikrotik_wan_ip_or_dns_name -n 1 -l 700 ping mikrotik_wan_ip_or_dns_name -n 1 -l 500 Обратите внимание, что размер пакета в cmd файле меньше на 28 байт - размер заголовка ip. Комбинации ставьте свои, не ставьте целые сотни, иначе будет легко подобрать. Для мобильный устройств андроид есть бесплатная программа Knock on Ports, в ней все настраивается интуитивно просто. Таким образом получаем роутер, закрытый ото всего мира, и пускающий к себе и в проброс портов dst-nat только после "стука". Можно изменять доступ меняя комбинацию портов и рассылая действующим пользователям новый cmd / комбинацию для Knock on Ports. Недостаток - в отличие от vpn при наличии нарушителя, имеющего доступ к каналу связи, размеры пакетов высвечиваются элементарно wireshark'ом. Пользуйтесь для повышения защищенности своих роутеров.

Из практики - лучше не использовать порты, близкие к 3389. По сети рущет огромное количество сканеров в поисках открытых rdp и последующим перебором паролей. Также не рекомендуется ставить порты типа 13389, 23389 и т.д. - раньше это защищало от сканирования, т.к. сканировали только порты поблизости от 3389. Теперь же сразу сканируют и 13389 и 23389, т.к. такой проброс визуально удобен и им пользуется большое количество людей. В сл раз я расскажу как за 5 минут сделать небольшую ids/ips систему средствами только микротика, на коленке и за 5 минут, без использования скриптов. :)

Сертификат на рдп сервере самоподписанный? Или покупаешь? Какие у тебя гарантии от MITM атак?

Я скажу из своей практики, что боты научились вычислять эти самые ханипот таймауты в том числе и на нестандартных портах и перебирать пароли с учётом настроенной мышеловки. Потому я считаю описанный способ - рабочим, но не совершенным. Впн он точно не заменяет

Покупать необязательно. Можно поднять свой CA и присунуть его сертификат в доверенные корневые на клиенте. Вот и гарантия от mitm атак. Контраргумент - vpn в доменной среде обычно настраивают c интегрированной с этой самой Active Directory аутентификацией, и пароль юзера также лекго подходит что на голый доступ по RDP, что на поднятие vpn и затем на одоступ по RDP. А тут есть пусть и слабенький, но "второй фактор" аутентифиации. И 99% скрипткидди и прочих ботнетов, что никогда не получат доступа к устройству клиента, а только и знают что шариться по Сети и сканировать порты на RDP протокол отваливаются еще на подходе. HINT: поглядите в журналы RDP подключений машин с опубликованныйм RDP без дополнительной защиты. Вы увидите много интересного. )

Претензий на совершенство способ не имеет, но помогает там где vpn по разным причинам неприменим.

Скорее всего, человек интересуется, сколько будет стоить легализовать частоту в диапазоне 5Ггц

Всем привет , скажите плиз сколько примерно будет стоить лицензия 5ггц моста длиной 10 км?

Ответил чуть выше

Всем привет. Вопрос по капсману и конфигурированию двух разных точек доступа. У меня почемуто сам не добавляет точку из конфигурации в нужный бридж. Как это реализовать? Нужно чтобы было 2 ssid и им скорость резать по разному

Ну а как с капом то быть? Он должен сам разбрасывать по нужным бриджам

Ну а как с капом то быть? Он должен сам разбрасывать по нужным бриджам

Надо посмотреть, спасибище

Коллеги, всем, кто давно ждёт мою свежую MUM презентацию по IPSec ike2 VPN серверу. Ловите пока горячее! https://t.me/tropicalengineer/198 С уважением, Никита Тарикин @tarikin * Сообщение опубликовано по просьбе автора канала

привет народ у меня вопрос по Dude на ARM роуторе. после ребута роутера сбрасывается все в Dude в роутер вставил флешку и туда посадил Dude как лечить кто подскажет или куда копать?

Вот последнее предложение интересное

Вот последнее предложение интересное

БУ циска умеет из коробки, не проще ли развернуть бесплатный Snort?

Это дополнительное железо в любом случае. А вообще для параноиков огонь все нью на вход/форвард запретить, а после порткнокинга разрешить доступ к впн.

Так зачем изобретать велосипед, если он будет без колес? Ну, хорошо, дома побаловаться. Делать это в продакшн в организации - подставить под удар компанию. Уж на виртуальную машину Snort поставить, если ну очень надо IPS/IDS - не проблема в организации.

надо человеку выйфай в здоровом коттедже развернуть и на прилегающей территьотии, вот думаю микротик или все таки че нибудб еще, 200м2 и еще территотрия 0,3га, ограничений по бюджету разумеется нет, запрос "чтобы лучшее" и соотв вопрос как ответить на вопрос клиента абы такой возникнет, почему в китае вонючем это все уже есть, а в "самом лучшем" нету.\

вопрос "а будут ли вообще у всего этого железща такие модные в 2к19 фишки как мумимо и бимформинг, и соответственно красиваые цифры 300+мб в спидтесте на клиентских устройствах" вход в коттедж пассивная оптика на 1 гбит

Большинство людей думают, что это просто решит все их проблемы, но на самом деле это не так. Большинство проблем решаются путем правильного планирования и реализации беспроводной сети.

Коллеги, рассудите по RE, провалил один вопрос на экзамене: Если три роута: 0.0.0.0/0 gw 2.2.2.2 10.10.10.0/24 gateway 1.1.1.1 10.10.20.0/24 gateway 1.1.1.1 check-gateway = ping Если 1.1.1.1 ложится - как полетит пакет в 10.10.10.4 ?

на 2.2.2.2, т.е. 1.1.1.1 будет анричебл

Ну да, я так и ответил

да ибо check-gateway завалит все маршруты где гейт 1.1.1.1

Олег Цяпа все время это подчеркивал)

Вроде так и было раньше

Но в замечено было что это не всегда срабатывает в последнее время

Воспроизведёшь НЕсрабатывание?

это решит некоторые проблемы, а именно главную "а почему у соседа цифирки больше на айпаде, или что там с несколькитми авнтеннами и в состоянии эти 300 мбит по воздуху получить" да и планировать особо нечего, это не бизнес центр и не торговый центр где клиентов 100+, тут четыре тела будут проживать, и соот не больше дюжины клиентских устройств, и эфир чистый, воркруг одни березки и елки еще, можно не стесняясь весь диапазон каналами по 40 и 80мгц загромождатьт, особенно учитывая что никаких богомерзких репитеров, все точки подключаться проводами будут

Олег Цяпа все время это подчеркивал)

Не уверен что iPad держит скорости реальные выше 180 сам по себе. Вот скорости на Xr.

Ну да) я попробую вытащить из тренера точную формулировку того вопроса, он помнит вроде

на форуме микроткика они на этот вопрос прямо уже год ответить не желают