KoTuK
Не дешевле. Даже если я возьму юбики нано. Там своих частот хватает. И куча куча железа. Поэтому. Надежнее провода нет. Ещё нюанс правда. Лотки трассы в них 220 Линии.
Андрей
Denis Jeniver
случился у меня сегодня спор с коллегой. на тему что делать с неперсонализированными атаками на роутер торчащий в интернет.
Denis Jeniver
Nikita
случился у меня сегодня спор с коллегой. на тему что делать с неперсонализированными атаками на роутер торчащий в интернет.
Tarpit если хватает ресурсов на роутере. Где лицензия 5, а лучше 6. Малыши могут не справиться.
Даниил
Даниил
+ syn cookie
Denis Jeniver
вот об том и спор, что дропать на раве вцызывает нагрузку проца при поиске по блеклистам
Даниил
А вообще вычислять атакующие адреса и фильтровать на raw preroute (action drop)
А можно и AS'ми фильтровать
Даниил
Просто понять с какой АС идет атака.
Даниил
и в блекхол
Denis Jeniver
я то всю жизнь исповедовал ловушку по стандартным портам и в блеклист для рава. но массовые неперсонализированные сканы...
Innokentiy
да и вообще, можно ненароком условый ростелек заблекхолить
Даниил
Обращатся в базы и смотреть к какой ас пренадлежит ип
Nikita
Неужели так много проца съедается на рав поиске?
Даниил
Ну... тут аккуратнее надо быть
Даниил
РТК... у них тонна ас)) особено после пожирания всех и вся)
Даниил
И да вообще защищеный интернет у нас, зачем тебе зарубеж))
Denis Jeniver
не, я сетями не готов банить :)
Nikita
Имхо быстрее найти в индексе адрес, чем гонять пакет до инпут фильтра через кучу инстанций
Даниил
Для воипа блеклист тупо в рав
Nikita
Как раз рав для таких защит и поидуман в первую очередь
Nikita
Чтобы разгружать цпу
Denis Jeniver
смысл в том что дроп подразумевает что "там чтото есть" и продолжение долбления, тарпит подвешивает долбящего, тупо его тормозя, делая невыгодным скан. А реджект с обьяснением типа нетворк анричебл может и остановить перебор. Теоретически.
Denis Jeniver
поскольку на раве возможен только дроп, то две другие опции подразумевают прохождение всего фильтеринга...
Denis Jeniver
но за 10 дней блеклист разрастается до нескольких тысяч вхождений
Nikita
Короче если готов постоять за себя - снимай рубаху и бей в тарпит
Nikita
Если мама учила игнорировать дураков - дропай в раве :)
Denis Jeniver
хммм. дроп в раве подразумевает ПЕРЕПИСЬ дураков
Nikita
хммм. дроп в раве подразумевает ПЕРЕПИСЬ дураков
Всех запоминать не обязательно, а только самых шумных за последний эпизод
Denis Jeniver
о нуда ну да. я игрался в три списка уже. Хватит :)
Даниил
Denis Jeniver
полезного? скорее важно количество разрешающих правил на фаерволле
Даниил
Наоборот вредоноса
Даниил
Что то типа сурикаты юзаете?
Denis Jeniver
?
Даниил
IDS\IPS
Denis Jeniver
неа
Даниил
Так.. возьмите попробуйте, отзеркальте трафик на свитче.
Denis Jeniver
это скорее задача для "серийного маленького роутера - точки доступа"
Даниил
Ааа.... Ну тогда нет смысла, я думал серьезный прод.
Denis Jeniver
зойчем такие сложности?
Denis Jeniver
серьезный прод когда 1000 рутеров по 1400 руб?
Даниил
:D
Даниил
ну он начинает с 72 сср и поехали джуны итд...
Denis Jeniver
для маленького роутера вопрос довольно заметный все же.
Даниил
raw дроп.
Даниил
Или по принципу, запретить все кроме того что разрешить
Denis Jeniver
ага-ага. так вот запрещенное куда?
Даниил
дроп)
Даниил
а наверно лучше реджект
Даниил
Что бы на скане не светился как фильтрованный
Denis Jeniver
ага! вот и ты засомневался, да?
Даниил
та реджект...
Cumberbatch
случился у меня сегодня спор с коллегой. на тему что делать с неперсонализированными атаками на роутер торчащий в интернет.
White list & port knocking
Denis Jeniver
так а непрошедших то куда?
Denis Jeniver
пгекгасно. ищо один голос за мой модус операнди
Yakov
пгекгасно. ищо один голос за мой модус операнди
Александр Романов @moneron на курсах говорил, что внешние пакеты drop, юзерам из своей сети reject, чтобы браузеры не долбились лишний раз, дропнутый пакет уходит в туман, пославший думает что там никого нет и идет дальше
Moneron 🇷🇺
Anonymous
А не было у кого-то глюков на rb951 что арп доступен, сеть сканируется /24 (wan), но icmp, трассировки не ходят, тайм-аут?
При этом, при подключении пк напрямую все работает.
Ну и шлюз оператора не отвечает. Хотя в арп есть и оператор видит.
Cumberbatch
Moneron 🇷🇺
А не было у кого-то глюков на rb951 что арп доступен, сеть сканируется /24 (wan), но icmp, трассировки не ходят, тайм-аут?
При этом, при подключении пк напрямую все работает.
Ну и шлюз оператора не отвечает. Хотя в арп есть и оператор видит.
Шлюз на icmp не обязан отвечать. Это целиком на усмотрение провайдера.
Anonymous
Шлюз на icmp не обязан отвечать. Это целиком на усмотрение провайдера.
Тут никто и не спорит, дальше шлюза-то ничего не уходит.
Базовые штуки я проверил, возможно оператор icmp полностью блокирует.
Я именно про "баги" спросил :)
Moneron 🇷🇺
Anonymous
А как маршрут по умолчанию прописан?
В туннель, и два до корневых через шлюз оператора, без checkping
Cumberbatch
Два маршрута до корневых железок (две). Остальное в GRE
И пк в такой же схеме подключали?
Moneron 🇷🇺
Два маршрута до корневых железок (две). Остальное в GRE
И вот тут хочется попросить схему сети с обозначением неработающих ресурсов.
Anonymous
ПК просто с дефолтом в оператора.
Шлюз оператора недоступен, все что дальше тоже недоступно (вообще).
Cumberbatch
ПК просто с дефолтом в оператора.
Шлюз оператора недоступен, все что дальше тоже недоступно (вообще).
Без схемы ничего не понятно
Anonymous
Без схемы ничего не понятно
Если выкинуть оператору в интерфейс, провайдер отрабатывает через proxy arp и после услуга активна.
Вопрос закрыт.
Moneron 🇷🇺
Если выкинуть оператору в интерфейс, провайдер отрабатывает через proxy arp и после услуга активна.
Вопрос закрыт.
В интерфейс — это не очень оптимальная настройка. Плюс ко всему буква S в протоколе ARP означает Security.
Anonymous
В интерфейс — это не очень оптимальная настройка. Плюс ко всему буква S в протоколе ARP означает Security.
А кто сказал, что я выбрасываю трафик в интерфейс?
Я сказал, что так я активировал услугу, далее как обычно.
Moneron 🇷🇺
Хм. Очень странное поведение оператора. Ну ладно, разобрались — и отличненько.
Anonymous
Хм. Очень странное поведение оператора. Ну ладно, разобрались — и отличненько.
Локальные операторы, не федералы.
Да, всем спасибо.