vpn l2tp + ipsec выставленный в паблик в разы лучше rdp

можно fail2ban сделать на тике

а порткнокинг это не для бухгалтеров

резать фаерволом только с определенных ip - зло

1. сменить порт винбокса 2. в ip service выключить ВСЁ кроме ssh 3, переназначить ssh на порт 65322 4. включить l2tp+ipsec vpn

резать фаерволом только с определенных ip - зло

Если выключить всё кроме ssh - зачем менять порт винбокса? Его же выключат... ssh и cli - для профи. Для начинающих винбокс рулит.

потому что pptp/l2tp/sstp/openvpn - идеологически сервисы доступа извне. и с мобилок в том числе. обезопасить их jn ботнетов несложно тем же fail2ban. а резать - зло - поменялся адрес /провайдер у буха и всё. лезь в энидекс и чини. зачем?

Ребятушки, вот как раз в тему. Есть два микротика между ними тунель pptp, при подключении клиента к серверу, клиент наглухо умирает и сбрасывает подключение к винбоксу и прочее. Умирает все в плоть до коннекта с ппрвайдером

либо делать радикально и доплачивать бухам по 100р чтобы у провадеров статику купили.

Когда нужно отдавать сервисы неизвестному количеству неизвестных людей с неизвестных IP - согласен. А для решения конкретной обозначенной задачи @Kompumaster - излишне. Инструмент подбираем под задачу. Зачем городить fail2ban, если кнокинг снимает проблему долбежки снаружи с неизвестных IP в принципе?

mtu/mss копайте

винбокс брутфорсят. как и ssh поменяв порт вы спасёте себя от ботнетов.

fail2ban иснтрумент на микротике - работает сам каши не просит. батник с порткнокингом Светлана Андревна удалит либо сама, либо это сделает её сын хакер.

Это работало лет 5 назад. Сейчас ботнеты умные пошли. Сканируют все 65535 потртов, и определяют, где ssh, где rdp, а где winbox. Либо надо их еще на этапе сканирования обрезать, либо волшебный пингкнокинг просто убережет от последствий скана. Микрот просто не ответит ни на один syn. Просканили - пошли дальше. Куда им и дорога. Тарпит хорошо, но привлекает лишнее внимание. Его лучше ставить на отдельно висящем CHR, за которым ничего нет. Пущщай кулхацкеры развлекаюцца. )

так у него извне вроде всё закрыто сейчас (кроме прописанного мной l2tp), или нет?

Закрыто. Но l2tp - то открыт. ) Понаблюдайте за логами пару недель - увидите много интересного. )

Закрыто. Но l2tp - то открыт. ) Понаблюдайте за логами пару недель - увидите много интересного. )

нет, опровергаю. всё что выше 60000 не трогают. у меня на даче на реальнике висит хиковский регистратор с открытыми 80-м портом. с тех пор как выше 60000 сделал порт - перестали брутить.

Это работает. Но до момента, когда кто-то из вашей внутренней сети попытается открыть TCP соединение с порта выше 60000 и совпадет с вашим опубликованным.

l2tp+ipsec пусть ломают. глючик приватный ещё можно с энтропией в 12+символов сделать. если бесят сильно - опять же повторяюсь в инете лежит fail2ban для ssh микротика - переделывается на l2tp на раз.

всмысле? src ip:port не равно dst ip:port. глубоко плевать с каких портов вылезают - главное куда лезут и как контрачатся.

Доброго дня коллеги. Поднимаю новую организацию и прошу вашей помощи в плане совета. 1. Ядро сети на CCR1072-1G-8S+. 2. Три коммутатора РоЕ+ CRS354-48P-4S+2Q+RM. 3. Один коммутатор CRS354-48G-4S+2Q+RM. 4. Два коммутатора CSS326-24G-2S+RM. 5. Пару точек wi-fi. Будет около 6-ти вланов, сервер видео наблюдения на 50-т камер с записью в HD, 50-100 пользователей(Профили пользователей динамические с DFSR 5-тью филиалами) работать будут с 1С, терминальный сервер. Вопрос: Вытянет ли CCR1072 как ядро с SFP+ 10G, есть ли какие ни будь грабли, не слишком ли будет ставить CCR1072 и какая есть альтернатива ? Сеть должна быть производительной, но к сожалению, полной картины нагрузки трафика у меня нет. Еще будет два канала инета по 100Мбит/с. Спасибо заранее за советы. - Соединение между железом описанном выше будет SFP+ 10G

5 филиалов.. где то ? или 5 DFSR в рамках этой же сети ?

5-ть филиалов в районе города, этот объект будет головным офисом. Забыл написать что есть домен, эксчейдж сервер, будет удаленка VPN IKEv2 50-т пользователей, и GRE Ipsec с филиалами

вполне себе бодрая конфигурация..

альтернатива CCR1072 Huawei S6730-S24X6Q. У нас пограничный MK 1009 124 клиента L2TP\Ipsec и 16 GRE\IPsec, 3 канала по 100 мб

Могут ли подводные камни возникнуть с SFP например?

могут.. нужно взять про запас

Больше интересует обработка внутреннего трафика, ибо 1С-ка у всех стоит локально и каждый подключается к базе, и плотный поток HD камер будет. А зарезервироваться CCR1072 мне врятли дадут. И построить сеть хочется не салянкой а одним вендором

камеры будут на трех коммутаторах, и так не получится. Думал сделать отдельную сеть для видео, но это накладно.

нужно взять калькулятор.. от проиводителя камер и посчитать нагрузку на канал

С видео стеной безопасника получается почти 1,5Гб

С видео стеной безопасника получается почти 1,5Гб

Нет, 4-ре здания, в трех из них камеры в четвертом безопасник

что то мне подсказывает что .. безопасник будет видеть не полный трафик с этих камер а сжатый и уже с сервера

С субпотока обычно реалтайм транслируется

С основного канала камеры идет запись на сервер в максимальном качестве HD 1080, со второго канала, 720 на видео стену безопаснику

не надо ему 720 .. если у него конечно не 50 мониторов

Соблюдай простые правила, и всё будет хорошо. 1) Не используй обсценную лексику. Никак. Ни явно, ни завуалированно. Карается баном. 2) Старайся писать одну мысль одним сообщением. Не флуди по два-три слова. 3) Не оффтопь. Здесь это не приветствуется. 4) Конфиги больше пары строк выкладывай на pastebin.com, в чат скидывай только ссылку. 5) Не спорь с администрацией. 6) Размещение объявлений/вакансий ТОЛЬКО через согласование с администрацией группы. Иначе – read only на 14 суток. В целях защиты от спама, ссылки и пересланные сообщения от новых пользователей автоматически удаляются. Ограничение действует первые сутки. Сообщить о нарушении админам можно командой /report в ответ на сообщение, нарушающее правила.

Привет. Подскажи, если мне нужна помощь в настройке мне роутера, попросить здесь об этом - это объявление?

Привет. Подскажи, если мне нужна помощь в настройке мне роутера, попросить здесь об этом - это объявление?

скажут возьми dir-300

без ТЗ, результат ХЗ 😂

mikrotik, резервирование провайдеров. Просто в соседнем чате "коллег по цеху" я только задал вопрос, меня удалили и группу сделали невидимой для меня без объяснения причин ). Опасные люди айтишники ))))

mikrotik, резервирование провайдеров. Просто в соседнем чате "коллег по цеху" я только задал вопрос, меня удалили и группу сделали невидимой для меня без объяснения причин ). Опасные люди айтишники ))))

Привет. Подскажи, если мне нужна помощь в настройке мне роутера, попросить здесь об этом - это объявление?

Увеличивается Tx Drop хотя на интерфейсе не более 10Мбит/с. В wiki написано это типа буфер

Кабель перепроверьте