ах да, учетки и пароли задать - удалить дефолтного юзера

У меня чуть иная архитектура. Капы видят менеджеров по L2 и я могу доступ прикрыть на шлюзе. Но с подобными сложностями иногда сталкиваюсь в других метсах

Firewall: https://pastebin.com/ED5dxSAP

Всем привет . Подскажите пожалуйста 🙏😊. Имею в пользовании CCR , на нем поднято порядка 100 vlan, на каждый vlan своя подсеть . Как можно ограничить доступ между вланами кроме Firewal? Есть какие то еще способы чтобы закрыть прохождение трафика из одной подсети в другую . Заранее спасибо ☺️

Всем привет . Подскажите пожалуйста 🙏😊. Имею в пользовании CCR , на нем поднято порядка 100 vlan, на каждый vlan своя подсеть . Как можно ограничить доступ между вланами кроме Firewal? Есть какие то еще способы чтобы закрыть прохождение трафика из одной подсети в другую . Заранее спасибо ☺️

канешна. ip firewall filter ip firewall raw ip route rules и, если есть бриджи - bridge filters

Знатоки подскажите. Создаю правило которое задействует regexp layer7. И везде в мануалах (возможно устаревших) сказано что я на его основе должен создать мэнгл который пометит пакет, а уже потом в фильтрах блокировать этот пакет. Почему этот способ быстрее чем сразу блокировать НОВЫЙ пакет по layer7? В любом же случае конекшн трекер будет проверять только новые соединения?

Знатоки подскажите. Создаю правило которое задействует regexp layer7. И везде в мануалах (возможно устаревших) сказано что я на его основе должен создать мэнгл который пометит пакет, а уже потом в фильтрах блокировать этот пакет. Почему этот способ быстрее чем сразу блокировать НОВЫЙ пакет по layer7? В любом же случае конекшн трекер будет проверять только новые соединения?

Потому что сперва нужно выдернуть нужный тип пакета, а потом его разбирать. L7 очень сильно нагружает маршрутизатор, а без мангл он будет проверять вообще каждый пакет

Потому что сперва нужно выдернуть нужный тип пакета, а потом его разбирать. L7 очень сильно нагружает маршрутизатор, а без мангл он будет проверять вообще каждый пакет

А какая разница между сработкой в мангл или форвард

Ну если не помечать а просто кроме l7 поставить условие state = new

Потому что сперва нужно выдернуть нужный тип пакета, а потом его разбирать. L7 очень сильно нагружает маршрутизатор, а без мангл он будет проверять вообще каждый пакет

мы же можем проверять только новые соединения в фильтре

вот я к тому же. в обоих случаях должны проверяться только первые пакеты новых соединений

это же всё равно много?

типа есть офис на 50 человек, и каждый работает во всяких почтах, консультантах, ЭДО и не одной и т.д. а еще сколько компов генерит трафик сами по себе

безусловно, но меня интересует чем проверка первого пакета через фильтр МЕДЛЕННЕЕ(????) чем вначале его пометка в мэнгле?

в моем понимании нагрузка должна быть одинаковой, но в случае с мэнглом у нас на 2 правила больше

Знатоки подскажите. Создаю правило которое задействует regexp layer7. И везде в мануалах (возможно устаревших) сказано что я на его основе должен создать мэнгл который пометит пакет, а уже потом в фильтрах блокировать этот пакет. Почему этот способ быстрее чем сразу блокировать НОВЫЙ пакет по layer7? В любом же случае конекшн трекер будет проверять только новые соединения?

вы метите не пакеты в таком случае - а соединения, пометив соединения один раз - вы убираете обработку каждого пакета в данном соединении

вы метите не пакеты в таком случае - а соединения, пометив соединения один раз - вы убираете обработку каждого пакета в данном соединении

так чтоб каждый пакет не метить мы ставим =new это и есть первый пакет соединения

само соединение нам трекать нет необходимости потому что оно уйдет в дроп

само соединение нам трекать нет необходимости потому что оно уйдет в дроп

а связанное с ним related и прочее ?

так без основного соединения related не будет же работать?

главный вопрос в том нужно ли заморачиваться с мэнглом (бесят лишние правила) или все таки оно будет быстрее работать чем через =new + layer7

главный вопрос в том нужно ли заморачиваться с мэнглом (бесят лишние правила) или все таки оно будет быстрее работать чем через =new + layer7

L7 самый дорогой в плане производительности метод обработки трафика

L7 самый дорогой в плане производительности метод обработки трафика

там мало трафика и жесткие условия. в плане затратности я в курсе

меня интересует разница блокировки через mangle l7 + ip filter или просто ip filter l7 =new

будет ли разница

меня интересует разница блокировки через mangle l7 + ip filter или просто ip filter l7 =new

через mangle точно погибнет весь трафик соединения (connection), через new - ну хм ... не всегда, или вы должны абсолютно точно понимать, что делаете — ИМХО

через mangle точно погибнет весь трафик соединения (connection), через new - ну хм ... не всегда, или вы должны абсолютно точно понимать, что делаете — ИМХО

спасибо. а с точки зрения производительности ?

спасибо. а с точки зрения производительности ?

и то и то будет плохо

=)

А такой вопрос можно ли внутри router os редактировать файлы rsc в cli ?

А такой вопрос можно ли внутри router os редактировать файлы rsc в cli ?

Кхм... А зачем? о_О Или Вы про те, что экспортом сделаны?

file edit я нашел

А такой вопрос можно ли внутри router os редактировать файлы rsc в cli ?

можно, но ... зачем и они должны быть не более какого-то размера

будет слишком большой, откроется - но не будет видно содержимого

Как троллейбус из буханки хлеба)

Как троллейбус из буханки хлеба)

иногда на самом деле надо

затем , что надо загрузить конфигурацию стартовую , но надо отредактировать , несколько параметров

затем , что надо загрузить конфигурацию стартовую , но надо отредактировать , несколько параметров

Типа, без использования WinBox, по SSH, например?

Типа, без использования WinBox, по SSH, например?

даже ssh нет, только консоль

даже ssh нет, только консоль

Физическая, что ли?

виртуальная

Хардкорно...

Коллеги, может кому интересно будет, Вакансия в Екатеринбурге. Требуется сетевой инженер. Требуемый опыт работы: более 3 лет Полная занятость, полный день. Знание Сisco, bgp, ospf. Выполнение регламентов компании, подготовка схем и инструкции. Подведение ТО оборудования. Приветствуются знания оборудования Eltex, UserGate! Желательно Высшее образование. ​​​​​​Полная занятость с 8 до 17. работа в центре города. Ключевые навыки Cisco BGP OSPF VPN NAT Настройка сетевых подключений. Администрирование сетевого оборудования. За информацией в ЛС, удаленно никак.

всем привет, кто посоветует микротик для офиса на 300-500 компов?

4011

Судя по вопросу лучше на mikrotik не смотреть

всем привет, кто посоветует микротик для офиса на 300-500 компов?

Опять меряют производительность роутеров в человеках....

Опять меряют производительность роутеров в человеках....

имеется в виду что там может быть что угодно... от vpn,vlan видеонаблюдение и т.п

имеется в виду что там может быть что угодно... от vpn,vlan видеонаблюдение и т.п

ЦЦР2116 минимум тогда

CCR2004-16G-2S+ или такого.

Вновь вопрос по железу, какой LTE USB свисток умеет отправлять SMS? подскажите проверенную модель

Вновь вопрос по железу, какой LTE USB свисток умеет отправлять SMS? подскажите проверенную модель

3372

3372 вот такое пишет при попытке отправить смс 🤷‍♂

😢 ну как так-то

😢 ну как так-то

Потому что для Хуавей есть другие решения....

Потому что для Хуавей есть другие решения....

Это как?

Это как?

В гугле в первых выдачах

В гугле в первых выдачах

Я так понял через апи модема?

Я так понял через апи модема?

Да

Всем привет . Подскажите пожалуйста 🙏😊. Имею в пользовании CCR , на нем поднято порядка 100 vlan, на каждый vlan своя подсеть . Как можно ограничить доступ между вланами кроме Firewal? Есть какие то еще способы чтобы закрыть прохождение трафика из одной подсети в другую . Заранее спасибо ☺️

А на L2 уровне на микротике можно как то это закрыть ?

А на L2 уровне на микротике можно как то это закрыть ?

это как ? на L2 они уже изолированы. — Добавляете vlan-ы в interface-list запрещаете forward in-interface-list=<vlan-list> и out-interface-list=<vlan-list> — Ну да ладно, bridge port horison - чиисто теоретически и скорее всего не то что вы хотите.

это как ? на L2 они уже изолированы. — Добавляете vlan-ы в interface-list запрещаете forward in-interface-list=<vlan-list> и out-interface-list=<vlan-list> — Ну да ладно, bridge port horison - чиисто теоретически и скорее всего не то что вы хотите.

Спасибо

#CVE-2023-30799 Не актуально для 6.49.7+/6.48.7 LT+ (но не исключаю того, что эксплуатация возможна, есть совсем не нулевая вероятность) Но вполне актуально для 6.49.6-/6.48.6 LT- *Для эксплуатации мне потребовался логин и пароль с правами фулл(кастом права не проверял).

тут был как-то флуд по поводу использования PC-based решений на границе сети, который: а) не соответствует тематике б) закончился использованием измерительных инструментов, если вы понимаете о чем я в) и соответственно был выпилен

#CVE-2023-30799 Не актуально для 6.49.7+/6.48.7 LT+ (но не исключаю того, что эксплуатация возможна, есть совсем не нулевая вероятность) Но вполне актуально для 6.49.6-/6.48.6 LT- *Для эксплуатации мне потребовался логин и пароль с правами фулл(кастом права не проверял).

A remote and authenticated attacker can escalate privileges from admin to super-admin on the Winbox or HTTP interface. Что еще раз подтверждает, что winbox использовать просто нельзя.

если бы не firewall со 100500 правилами , я б его и не использовал. Остальное прекрасно через ssh cli настраивается.

Ребят. Поскольку в 7 убрали пункт bgp network synchronization no. Встал вопрос. Есть одна as на одном mt сети 1,2,3 на центральном mt 4( прилетает 1,2,3), а на mt 3 прилетает только сеть 4. Как ананасировпть на центральном mt сеть которая прилетела?

A remote and authenticated attacker can escalate privileges from admin to super-admin on the Winbox or HTTP interface. Что еще раз подтверждает, что winbox использовать просто нельзя.

А чего HTTP упустили? Может проблема таки не в winbox?)

А чего HTTP упустили? Может проблема таки не в winbox?)

использовать HTTP в 2023-м году по моему мнению очень странно

использовать HTTP в 2023-м году по моему мнению очень странно

А если нужно быстро и наглядно, или новичек вообще настраивает?

A remote and authenticated attacker can escalate privileges from admin to super-admin on the Winbox or HTTP interface. Что еще раз подтверждает, что winbox использовать просто нельзя.

Говорится о перехвате или прямой атаке?

А если нужно быстро и наглядно, или новичек вообще настраивает?

если быстро и наглядно, то вы выбрали не то оборудование и на этом все.

Я бы так не сказал. Всё и быстро, и наглядно. Так что не так с http?

Говорится о перехвате или прямой атаке?

прямая атака, исходя из: https://github.com/MarginResearch/FOISted

Я бы так не сказал. Всё и быстро, и наглядно. Так что не так с http?

он не имеет шифрования, все ваши данные передаются в открытом виде и могут быть перехвачены, а затем использованы для jailbreak выше по ссылке — и я просто не понимаю, почему это нужно объяснять

он не имеет шифрования, все ваши данные передаются в открытом виде и могут быть перехвачены, а затем использованы для jailbreak выше по ссылке — и я просто не понимаю, почему это нужно объяснять

В MT есть и HTTPS. Подозреваю что он тоже уязвим к атаке. Есть противопоказания к использованию?

Голый http уважающие себя люди не используют ИМХО

В MT есть и HTTPS. Подозреваю что он тоже уязвим к атаке. Есть противопоказания к использованию?

в уязвимости не указан, но - да, я его так же не использую и отключаю

главное что нужно знать, для эксплуатации этой уязвимости нужно знать учетку админскую и пароль, это не про взлом роутера удаленно, это про возможность получения шелла вне операционки

он не имеет шифрования, все ваши данные передаются в открытом виде и могут быть перехвачены, а затем использованы для jailbreak выше по ссылке — и я просто не понимаю, почему это нужно объяснять

HTTP не шифруется, но внутри зашифрованный протокол обмена, по крайней мере начиная с ранней 6 ветки RouterOS.