владельцы crs354, можете глянуть загрузку cpu в простое ? у меня чота рандомно прыгает до 70%

[user@CRS354-2] > system resource monitor interval=5s cpu-used: 0% free-memory: 38764KiB

по ssh данные те же: 17%, 55%. диапазон от 3% до 70%

Доброго дня! Почему Dude не видит основной роутер? Хап и Кап нормально всё отдают... как/чем установить причину?

Доброго дня! Почему Dude не видит основной роутер? Хап и Кап нормально всё отдают... как/чем установить причину?

С большей долей вероятности, виновен кабель. У меня раз попался такой кабель, где зеленая пара уже была перекручена в обратную сторону. Глюков в сети на 8 метров, каких только не видел. Пришлось переобжимать по обезьяньему.

Доброго времени суток, коллеги. Такой вопрос, настраиваю удаленный доступ по ssh посредством rsa ключиков сгенерированных в PuTTYgen (на ключи и их установку не грешу ибо из локалки все работает), но почему-то никак не удается подключиться удаленно. Порт использую свой не 22й, адреса от провайдеров (используется оптика и модем в качестве резервного канала) указаны верно, разрешающее правило в фаерволле на доступ по данному порту стоит выше всех запрещающих. Чувствую, что какая-то мелочь, но не могу понять) На всякий случай прикладываю скрин настроек на самом роутере (hEX)

А при попытке подключиться, пакетики считаются?

Нет. Консоль PuTTY просто схлопывается без всякого намека на то, что процесс соединения происходит

По таймауту

А на output нет запрещающих правил на роутере к которому пытаетесь подключиться?

Нет никаких.

Нет никаких.

Может что-то с настройками порта. Как вариант, можно вернуть 22 порт и прописать в src свой текущий IP адрес, чтобы проверить, подключится или нет на стандартном порту. Хотя по скринам все должно работать. Еще вариант может быть в резервном провайдере. Типа трафик приходит на один адрес, а отправляется с другого

С портами пробовал, хотя 22й наружу светить не есть хорошо ибо братья из Китая достают) А что касается резервного провайдера, то в правиле я добавляю не конкретный интерфейс а список WAN где оба порта через которые разрешается доступ. По идее должно работать независимо.

С портами пробовал, хотя 22й наружу светить не есть хорошо ибо братья из Китая достают) А что касается резервного провайдера, то в правиле я добавляю не конкретный интерфейс а список WAN где оба порта через которые разрешается доступ. По идее должно работать независимо.

Попробуйте разрешить ещё пароль. И проверьте. Note: You can disable password login for users with SSH-KEY imported using "/ip ssh set always-allow-password-login=no"

Знаю, что светить 22-й порт наружу не хорошо, потому можно в поле SRC указать свой IP адрес и FW будет пускать только с указанного здесь IP адреса либо диапазона адресов, а остальных будет дропать

А вот это попробую, если что отпишусь. Спасибо за совет)

@V3N0MANC3R И вообще у вас в Main таблице есть default Gateway? Если пробовать снаружи подключиться на тот адрес который с default gateway в одной сети проходит? Если да то значит https://t.me/mikrotikclub/172141

Пароль используется. Когда я подключаюсь изнутри, после установки соединения в консоли запрашивает логин и пароль учетки, а так же passphrase ключика

Но если из внутренней сети работает, тогда затык где-то на внешке. Скорее всего из-за двух одновременно работающих провайдеров, как написали выше о том, что нужно маркировать пакеты, чтобы запрос уходил на тот же внешний адрес, с которого он пришел

Коллеги, доброго времени суток Подскажите, есть ли функционал, который позволяет добавлять ip в какой ни будь блэк лист после 3х неудачных попыток авторизации на впн сервере

Есть. Вопрос в том, как определять "неудачнось попыток" )

Неправильный пароль/логин

И как Вы это планируете определять?

в том то вопрос. Эти сообщения в лог попадают. Только вероятно скрипт к логу привязвать каким-то образом

может есть какие-то штатные инструменты?

может есть какие-то штатные инструменты?

ikev2 с сертификатами - очень сложно брутить.

ikev2 с сертификатами - очень сложно брутить.

есть каке-то фидео или тп, где ikev2 разобран. Особо с ним не сталкивался

Помогите определиться, что купить? LHG LTE kit / 4G kit ?

LTE поддерживает 2,3,LTE 4 поддерживает только LTE

на объекте поймали 4G антенной WaP LTE kit, но скорости маловато. Как думаете поможет LHG LTE kit / 4G kit ?

на объекте поймали 4G антенной WaP LTE kit, но скорости маловато. Как думаете поможет LHG LTE kit / 4G kit ?

Вы главное, если поймали, не отпускайте, а то убежит

может есть какие-то штатные инструменты?

Это достаточно легко делается с помощью фаервола. И это можно сделать почти на любой сервис. http://pyatilistnik.org/protecting-mikrotik-from-password-guessing/

Эти правила банят все new и успешные и нет

А вот состоявшееся подключение он уже не банит

Вы считаете, что подбор пароля идет с состоянием соединения new? )))

Ну не знаю как у вас. Но у нас да. По крайней мере отрабатывает достаточно четко. Сам проверял и людей просил.

Жаль, что Вы так думаете. )

Попробуете?

Попробовать авторизоваться пакетом с коннстейт new? Даже пробовать не буду. )

Попробуйте как умеете. Дам адрес порт и логин.

Спасибо, Нет необходимости. Но Вам все же лучше разобраться в механизме и понимать потенциальные проблемы данного метода.

)) вот так всегда. Нет такого замка который не возможно открыть. Поэтому прежде чем строить защиту, читаем про методы. Ну а если хотим 100% защититься от интернет атак - решение простое: выдернуть шнурок. Но я вполне согласен с вами не все на new идет. Поэтому и написал что ПОЧТИ все сервисы

)) вот так всегда. Нет такого замка который не возможно открыть. Поэтому прежде чем строить защиту, читаем про методы. Ну а если хотим 100% защититься от интернет атак - решение простое: выдернуть шнурок. Но я вполне согласен с вами не все на new идет. Поэтому и написал что ПОЧТИ все сервисы

Все на new НЕ идет - это принципиально. А есть сервисы, которые допускают несколько попыток авторизации в пределах одного соединения.

Как можно взломать защиту которая построена на длинных паролях, системах шифрования в 1024 и более бит, и много чего еще? А главное сколько времени на это потребуется? Да все очень просто: 1 Поймать админа 2. купить паяльник 3. Воспользоваться пояльником не по назначению (при необходимости) И вся защита падет не более чем через 5 минут )))))

Одна уязвимость в сервисе - плакали ваши пароли и сертификаты

Как можно взломать защиту которая построена на длинных паролях, системах шифрования в 1024 и более бит, и много чего еще? А главное сколько времени на это потребуется? Да все очень просто: 1 Поймать админа 2. купить паяльник 3. Воспользоваться пояльником не по назначению (при необходимости) И вся защита падет не более чем через 5 минут )))))

я за более гуманный подход. Можно человеку денег предложить 😀

Сап, коллегии. Будьте добры , скиньте, пожалуйста, ссылку/торрент с видеокурсами в лс или в чат если имеется. Читаю вики по настройке микротика и смотрю канал на ютубе netskils, и в восторге от гибкости настройки и возможностей этого оборудования. Спасибо.