RB3011UiAS

всем привет, кто в скриптах разбирается ? хочу реализовать защиту от взлома WiFi на CapsMan. есть скрипт, но он для конкретного интерфеса wlan1 написан, а в capsman интерфейсов много, т.е. надо регулярку вписать: :local pop 4 :local mac :local wifi [/log find message~"disconnected, 4-way handshake timeout"] foreach i in=$wifi do={ :set mac [:pick [/log get $i message ] 0 ([:len [/log get $i message ]]-50)] :log warning $mac if ([:len [/log find message~($mac . "@wlan1 disconnected, 4-way handshake timeout")] ] >= $pop) do={ if ([/caps-man access-list find mac-address=$mac] = "" ) do={ /caps-man access-list add mac-address=$mac authentication=no interface=all } } } :log warning "FINISH"

кто нибудь с регуляркой поможет ?

:log print where message~"<prefix>"

Просто не привязывайтесь к интерфейсу и всё

можно пример ?

Удалите @wlan1

Нормально ему будет. Айписека 700 мегабит должно вам хватить.

/interface bridge add comment="=L2TP-SRV-LOOPBACK=" name=loopback10 protocol-mode=none /ip pool add comment="=L2TP-SRV-POOL=" name=l2tp-POOL ranges=172.0.34.10-172.0.34.250 /interface list add name=l2tp-conn comment="userconf: contains l2tp connected interfaces" /ppp profile add address-list=alst-L2TP-CONNECTED change-tcp-mss=yes interface-list=l2tp-conn local-address=172.0.34.1 name=l2tp-profile only-one=yes remote-address=l2tp-POOL use-compression=no use-encryption=no use-mpls=no use-upnp=no /interface l2tp-server server set authentication=mschap2 default-profile=l2tp-profile enabled=yes ipsec-secret=qwerty1234567 mrru=1614 use-ipsec=yes /interface l2tp-server add comment="=L2TP-SRV-TEST-ACC01=" name=vpn-acc01-ppp user=vpn-acc01 /ppp secret add name=vpn-acc01 password=qwe123 service=l2tp

Добрый вечер/день. Подскажите пожалуйста, сделал правило по блокировке TCP на L7 (указаны доменные имена почтовых сервисов, определённых). Как правильно заблокировать pop3, SMTP, IMAP, просто по web почта не работает, а через клиент легко обходит блокировку. Почему блок TCP не помогает? Подскажите пожалуйста.

Че серьозна 700 Мб ipsec в одну сторону перелопачивает?

а порты какие открыть

тю то что указанно то одно , а по факту другое

1701 c ipsec-policy-in и протокол esp

закрыть просто порты 110, 993, 465, 25 и т.д.

Мне нужно закрыть только определенные DNS почтовых сервевисов. Т. Е. Просто про дублировать мое правило только указать другие порты и все?

во всех старых инструкция написано что надо что то мутить в разделе /ip ipsec

угу

Ну ёмаё/))) а я то думал) завтра попробую)))

Мне нужно закрыть только определенные DNS почтовых сервевисов. Т. Е. Просто про дублировать мое правило только указать другие порты и все?

так этот раздел и изменился, там теперь все нитак как было Ж)

я думаю, что должно и с правилами на Layer7 сработать

создайте адрес list в нем напишите fqdn, закроте порты по которым идет обращение к почтовым сервисам

создайте адрес list в нем напишите fqdn, закроте порты по которым идет обращение к почтовым сервисам

фильтрация по L7 - dns запросов возможна, но малоэффективна, поскольку у всех есть dns-сache

Можно пожалуйста раскрыть Ваш ответ, что это такое?)

/ip firewall filter add chain=input action=accept protocol=udp port=1701,500,4500 add chain=input action=accept protocol=ipsec-esp

задача какая изначально - сфрмулируйте четко прежде всего для себя

Закрыть все почтовые сервисы, кроме mail.ru. разрешить использовать клиент и веб версию данного почтового сервиса

Может лучше разрешить майл ру только. ?

Закрыть весь интернет клиентам?)

да, просто инверсивное правило

Интересно🤔💭. А как быть с внутренними сервисами, почтой?

А, вы имеете ввиду запретить используемые порты кроме определенного днс почтового сервера? И для определенного списка IP адресов сети?

Вы задачу то ясно поставьте

Есть почта внутри сети, она не видит внешний мир, только все что заведено в домене локальном. И нужно разрешить пользователям использовать внешнюю почту, для общения с миром, но только через mail.ru

Нет. Порты для соединений клиентов к почтовым сервисам. Разрешите только для mail.ru. Остальное запретить

В настройках правила блокировки просто поставить знак восклицания, правильно? Просто не под рукой микротик...

Ну разрешите 80,443 tcp для address list = mail.ru. Пусть работают через браузер. Остальное как я понял запрещено

а не пора ставить прокси и фильтровать на нём?

Просто почему если я блокирую все TCP порты на определенные DNS , веб интерфейс не работает, а клиент почтовый спокойно проходит... Ведь порты pop3 это же TCP?

ну и нам наверное надо угадать ваши правила блокировок, угу

ну и нам наверное надо угадать ваши правила блокировок, угу

ну и нам наверное надо угадать ваши правила блокировок, угу

ну и нам наверное надо угадать ваши правила блокировок, угу

/ip firewall filter export terse - найдите блокирующее правило, которое использует L7 фильтр и покажите

я тут уже приводил пример фильтрации dns запросов по l7, там был форвард на нужные серверы в зависимости от доменного имени, в вашем случае (и это выстрел себе в ногу) д.б. drop на все, что кроме L7

А как быть? Если ничего нет кроме микротика и все... К сожалению.

Наверное вас запутал. Прошу прощения. Интернет можно пользователям кроме соц сетей (это я заблокировал. (Но тут есть интересный вопрос, встретил глюк, иногда не работает, и нужно делать откат системы)) . Так же есть vpn с офисами, у меня центральный шлюз. Нужно запретить пользоваться различными почтовыми сервисами, и оставить только майл.ру, ну и интернет тоже для сотрудников. Я сделал правило как описал выше. Почти как блокировку соц сетей (но не маркировал). Но нашлись в сети локальной хитрые люди, которые установили почтовый клиент и они спокойно подключаются к списку заблокированных DNS почтовых серверов (к примеру Яндекс, Гугл).

Подскажите, плз, запамятовал. В каком режиме wireless, лучше прозрачно объединить два микротика, на 2,4?

как добавить правило фаирвола в верх списка в консоли

ip firewall add bla bla bla place-before=0

тогда следующий вопрос. src-nat на диапазон внешних айпишников не связан же с route-cache? наблюдаю такое поведение: новый tcp открывается со случайным reply-dst-address. вкладка закрывается, tcp благополучно умирает, после чего открывается заново. и там уже сколько ни старайся - reply-dst тот же самый. а я хочу, чтобы был каждый (вообще каждый) новый коннект с рандомного внешника. что делать?

Так задействуйте в соурснате random

так а если там диапазон ip указан внешних, он не рандомом выбирает? это ж правил надо по количеству адресов тогда. ну, и вашу формулу расчета рандома, я помню...