Alex
Если смотреть в ваершарке follow tcp strem, то виден html какой-то страницы
Andrey
Снифером снял дамп. Атака идёт примерно с 200 уникальных адресов. Каждый адрес открывает не более 10 соединений. Порт источника 80, или 443. Дст.порт всегда рандомный. Пока что не понял как такое происходит при единственном открытом порту на микротике
Чтобы микроту понять пакет предназначается для открытого порта или нет, ему нужно принять _каждый_ пакет и заглянуть в него
Cumberbatch
Снифером снял дамп. Атака идёт примерно с 200 уникальных адресов. Каждый адрес открывает не более 10 соединений. Порт источника 80, или 443. Дст.порт всегда рандомный. Пока что не понял как такое происходит при единственном открытом порту на микротике
Ну нужно смотреть что конкретно происходит. Откуда куда что за пакеты. Отсеките все в raw. А что разрешено уже фильтруйте в Filter
Glue
А еще есть ip services ...
Alex
Я заметил что торч показывает больше инфы чем в контрекере
Glue
Со всякими хелперами типа сип алг
Alex
Хелперы по дефолту
Glue
До коннтрекера это не должно доходить
Glue
Иначе это не защита
Alex
До коннтрекера это не должно доходить
Если досить конкретный открытый порт, то контрекер показывает около 2к подключений, но микротик при этом хотя бы не отваливается
Glue
В общем то уже все сказали, так не делается. Можно наверное под конкретную модель подобрать решение, но это путь самурая, а не работа на результат
Alex
Ок. Всем спасибо.
Alexey
на микротах тогда развернем openwrt или pfsense
Ildar
NetBSD!
Roman
Alex
Появятся ломаные версии рос и будем обновлять прямо с трекера
Alexey
Или нанять хакеров чтобы они ломанули routeros
Alex
https://wiki.netbsd.org/ports/
Ну тогда может быть. Под какой лицензией у них вот это все за бесплатно даётся?
Ildar
Недавно как раз была статья на Reddit про долгий жизненный путь, который окончился FreeBSD
Ildar
https://www.netbsd.org/about/redistribution.html
Ildar
А какое ограничение для бесплатной лицензии?
Nemo
Появятся ломаные версии рос и будем обновлять прямо с трекера
Серьезно, блин? Надеюсь вы не в операторе работаете? Нам ещё не хватало для полного счастья линков на оборудовании, в котором покопались доморощенные "умельцы"
Геннадий
Серьезно, блин? Надеюсь вы не в операторе работаете? Нам ещё не хватало для полного счастья линков на оборудовании, в котором покопались доморощенные "умельцы"
Вам лучше не иметь линка совсем, или такой вариант?
Nemo
Вам лучше не иметь линка совсем, или такой вариант?
В таком случае - лучше не иметь никаких линков от данной организации.
Геннадий
В таком случае - лучше не иметь никаких линков от данной организации.
Вы хотели сказать ни от какой?
Геннадий
Связь через почту РФ, в рукописном варианте.
Nemo
Я хотел сказать ровно то что сказал.
Alex
У меня вопрос несколько теоретический. Если микротик А шлёт пакеты с мту 1700 микротику Б, который принимает только мту 1200, то который микротик будет пакеты фрагментировать? Микротик А?
Андрей
Innokentiy
У меня вопрос несколько теоретический. Если микротик А шлёт пакеты с мту 1700 микротику Б, который принимает только мту 1200, то который микротик будет пакеты фрагментировать? Микротик А?
теоретически MTU - maximum transmission unit, т.е. на получение IP-пакетов он не влияет
Alex
А в чью обязанность входит сборка пакетов из фрагментов если они есть?
Innokentiy
но тут нужно хорошо понимать, что рядом с термином MTU есть еще десяток похожих слов, которые могут означать самое разное, и поведение у них тоже будет совсем другое
Alex
Ситуация такая. Один хост шлёт пакеты 1700, другой принимает только 1500. Посередине гре туннель на микротике. Я так понимаю, что собрать пакеты из фрагментов даже по определению микротик не может?
Innokentiy
он не должен этого делать
Innokentiy
скажем, ему не следует
Innokentiy
хотя бывает оборудование, которое транзитные пакеты может собирать из фрагментов (например, типичное поведение для stateful firewall)
Alex
хотя бывает оборудование, которое транзитные пакеты может собирать из фрагментов (например, типичное поведение для stateful firewall)
Вот бы как-то на микротике такое сделать. Не могу состыковать два хоста из-за мту
Геннадий
Вот бы как-то на микротике такое сделать. Не могу состыковать два хоста из-за мту
есть правило, если используется мту, отличное от 1500, то вся сеть должна уметь в заявленное мту.
Геннадий
иначе опускайте назад до 1500
Alex
есть правило, если используется мту, отличное от 1500, то вся сеть должна уметь в заявленное мту.
Не могу повлиять ни на один, ни на другой хост. Это продакшн и никакая сторона не хочет ничего менять
Геннадий
можете их разрезать на подсети, и попробовать через нат трансляции
Геннадий
обоим сторонам выкатываете требование - согласовать меж собой мту, точка
Геннадий
не хотят общаться - их проблемы.
условие внятное и четкое, пусть договариваются
Cumberbatch
Ситуация такая. Один хост шлёт пакеты 1700, другой принимает только 1500. Посередине гре туннель на микротике. Я так понимаю, что собрать пакеты из фрагментов даже по определению микротик не может?
Это как? Схему нарисуйте. Описание очень странное. Если между железками с разным мту gre есть, то установите на нем mtu 1476 с обеих сторон
Alex
Это как? Схему нарисуйте. Описание очень странное. Если между железками с разным мту gre есть, то установите на нем mtu 1476 с обеих сторон
Устройства мобильной сети разнесены на сотни км. Для общения между собой используют TCP. Связь построена через несколько роутеров, в.т.ч через микротик. Если сделать дамп трафика на микротике, то можно увидеть, что один хост шлёт пакеты 1200, а второй в ответ шлёт фрагментами. Если их сложить, то получается 1700. Видимо фрагменты "где-то там" отбрасываются фаерволом, или хост не умеет их собирать
Alex
Я уже понял из обсуждения, что микротик пакеты собирать не умеет, так что можно считать вопрос закрытым
Геннадий
Устройства мобильной сети разнесены на сотни км. Для общения между собой используют TCP. Связь построена через несколько роутеров, в.т.ч через микротик. Если сделать дамп трафика на микротике, то можно увидеть, что один хост шлёт пакеты 1200, а второй в ответ шлёт фрагментами. Если их сложить, то получается 1700. Видимо фрагменты "где-то там" отбрасываются фаерволом, или хост не умеет их собирать
мне это напоминает одного странного-провайдера, в которого постоянно периодически искали инженера микротиковда
Innokentiy
коллега, давайте все же придерживаться литературного языка
Innokentiy
определенно)
Innokentiy
благодарю
Cumberbatch
Устройства мобильной сети разнесены на сотни км. Для общения между собой используют TCP. Связь построена через несколько роутеров, в.т.ч через микротик. Если сделать дамп трафика на микротике, то можно увидеть, что один хост шлёт пакеты 1200, а второй в ответ шлёт фрагментами. Если их сложить, то получается 1700. Видимо фрагменты "где-то там" отбрасываются фаерволом, или хост не умеет их собирать
Я вам написал выше что мог. По вашему описанию мне добавить нечего
Denis
Здравствуйте. Подскажите пожалуйста. Школа. Микрот. Работаем через местного провайдера. Сейчас местный пров остается , но добавляется Ростелеком. РТ поставил свое оборудование. Мне нужно подсеть учителей пустить через месного провайдера, а подсеть учеников - через РТ. С мультиваном разберусь. Но РТ приходит со своей маршрутизацией и работой через их проксю. Т.е на каждой рабочей станции нужно прописать адрес прокси и установить сертификат. Я могу средствами микрота выпустить в инет через железо РТ с учетом их техтребований?
Denis
Здравствуйте. Подскажите пожалуйста. Школа. Микрот. Работаем через местного провайдера. Сейчас местный пров остается , но добавляется Ростелеком. РТ поставил свое оборудование. Мне нужно подсеть учителей пустить через месного провайдера, а подсеть учеников - через РТ. С мультиваном разберусь. Но РТ приходит со своей маршрутизацией и работой через их проксю. Т.е на каждой рабочей станции нужно прописать адрес прокси и установить сертификат. Я могу средствами микрота выпустить в инет через железо РТ с учетом их техтребований?
Почитал про подобные схемы. Понял, что то что хочу сделать нереально без костылей. Вопрос: возможно ли интерфейс подсети (которую нужно пустить через РТ) объединить бриджем с интерфейсом, смотрящим в РТ и на всех рабочих станциях прописать вручную статику ip от РТ и установить сертификаты? Цель: оставить пока на время местного провайдера.
Denis
https://t.me/mikrotikclub/221345
Сенк. Я читал вчера ваш ответ. Я не думал, что у РТ будет подключение через проксю ихнюю. Мне менять маршруты внутри локалки не очень хочется - накрутил сильно много. Буду искать варианты отказа от "услуг" РТ.
Cumberbatch
Сенк. Я читал вчера ваш ответ. Я не думал, что у РТ будет подключение через проксю ихнюю. Мне менять маршруты внутри локалки не очень хочется - накрутил сильно много. Буду искать варианты отказа от "услуг" РТ.
Тогда просто оставьте все как есть а новое подключение РТ добавьте в врф и туда же интерфейс где подсеть учеников
Dmitriy
Здравствуйте. Подскажите пожалуйста. Школа. Микрот. Работаем через местного провайдера. Сейчас местный пров остается , но добавляется Ростелеком. РТ поставил свое оборудование. Мне нужно подсеть учителей пустить через месного провайдера, а подсеть учеников - через РТ. С мультиваном разберусь. Но РТ приходит со своей маршрутизацией и работой через их проксю. Т.е на каждой рабочей станции нужно прописать адрес прокси и установить сертификат. Я могу средствами микрота выпустить в инет через железо РТ с учетом их техтребований?
Серт и прокси придется в любом случае ставить и прописывать. Адреса в локалке можно не менять, а занатить за одним из адресов еспд
Dmitriy
Говорят что в рт можно сообщить список адресов, и они на них отключат фильтрацию
ZlyddeN
а в ROS DHCP-Lease имя хоста , которому выдается IP, нельзя задать как в SOHO роутерах?
Геннадий
Dmitry
а в ROS DHCP-Lease имя хоста , которому выдается IP, нельзя задать как в SOHO роутерах?
можно сделать статическим и добавить комментарий
Anton
Геннадий
DJ Cool
Здравствуйте. Подскажите пожалуйста. Школа. Микрот. Работаем через местного провайдера. Сейчас местный пров остается , но добавляется Ростелеком. РТ поставил свое оборудование. Мне нужно подсеть учителей пустить через месного провайдера, а подсеть учеников - через РТ. С мультиваном разберусь. Но РТ приходит со своей маршрутизацией и работой через их проксю. Т.е на каждой рабочей станции нужно прописать адрес прокси и установить сертификат. Я могу средствами микрота выпустить в инет через железо РТ с учетом их техтребований?
По схеме у РТ шлюз свой. Поэтому мультиван не подходит, имхо, т.к. шлюз и маршрутизация на отдельной "железке" криптошлюзе.
DJ Cool
Серт и прокси придется в любом случае ставить и прописывать. Адреса в локалке можно не менять, а занатить за одним из адресов еспд
вот этот вариант не очень, имхо, т.к. все запросы с одно адреса будут идти, еспд они строят по принципу каждому компу ip от РТ.
Dmitriy
вот этот вариант не очень, имхо, т.к. все запросы с одно адреса будут идти, еспд они строят по принципу каждому компу ip от РТ.
ну если забанят, нетмап в помощь, если уж так не хочется адресацию менять в локалке
Dmitriy
но думаю, административно всех прижмут со временем