А если три раза на один и тот же порт стукнуть? Пропустит же.
Совсем тогда не клеится схема то
Maxim
Maxim
Ну значит нужно правило добавить... Если два раза в один порт... Бан)))
МТ под рукой нет, а там нету экшена удаления из листа?
Владимир
МТ под рукой нет, а там нету экшена удаления из листа?
Можно сделать аптайм листа очень коротким и тогда не понадобится
Maxim
Тогда тройной простук на один порт пройдет
Владимир
Сделать аптайм короче и не пройдёт
Moneron 🇷🇺
МТ под рукой нет, а там нету экшена удаления из листа?
Нету, есть только таймаут на добавление
Maxim
Быстро трижды стукнуть на один и проскочить в братишку
Moneron 🇷🇺
Завтра подумаю. Чувствую, без манглов не обойтись
Maxim
А что там манглить?
Vladimir
А решение то точно есть ?
Vladimir
А то так можно сказать что и за 3 правила надо решить
Владимир
Решение точно есть... Это как мат в шахматах двумя конями
Vladimir
А про аптайм не прокатит
Vladimir
for x in 1 2 3 do nmap done
Vladimir
он в момент простучит
Vladimir
или из 3х разных консолей вообще
Innokentiy
да чем вам мое решение-то не нравится
Vladimir
надо 6 или 7
Innokentiy
нет же, в 12 правил
Vladimir
ну может сейчас гений какой нибудь проснется и скажет что это очевидно и кинет решение
Vladimir
Я тоже сомневаюсь
Innokentiy
порядок только обратный должен быть
Vladimir
а не хватает то всего в фаерволе OR
Innokentiy
AND тоже покатит
Innokentiy
с ним даже проще
Vladimir
да хоть что нибудь
Vladimir
не выиграли бы мы микротик
Vladimir
Никто не выиграл ?
Maxim
Пропустил. Но да, логика правильная
по сути то, что расписал я, но у меня всё в отдельных цепочках и поэтому на 3 правила больше получилось - а так тоже в 12 реально уложиться.
Maxim
Я бы тут хотел под сомнение (ну и на суд окружающих) поставить тот факт, что применять подобное решение задачи в реальном мире не стоит. Любой достаточно быстрый сканер за время жизни адреса в аксесс листе может пройти два других порта, тем самым открыв дверь и притворившись "братаном". Т.о. порядок всё таки важен, и вообще говоря не плохо бы нелинейным его делать.
Innokentiy
так речь шла про чисто разминку для мозга, а не про продакшен
Anibius
Спасибо! Это просто супер!
Супер было бы *если бы кнопку запилили*,а так все просим и не сделают никак.
Maxim
так речь шла про чисто разминку для мозга, а не про продакшен
помню, просто мало ли... чат обычно читают с конца... а до постановки задачи могут и не дойти))
Владимир
Я знаю как вообще без правил фаервола!!!!! Хм мм... За литр крафтбира раскрою тайну
Maxim
Я знаю как вообще без правил фаервола!!!!! Хм мм... За литр крафтбира раскрою тайну
Я в ВЛГ буду через месяц, не раньше. Сохранишь тайну??? ;)))
Владимир
Звонишь коллеге и говоришь - добавь вот этот адрес в белый лист..... А-то гемор порткнок бацать
Maxim
Maxim
Просто вообще говоря о порткноке как таковом. У вас много раз ломали ssh с реальными паролями: 8 знаков из 3-х алфавитов. Я лишь слышал о взломах учёток типа admin/admin, root/toor и прочих словарных комбинаций
Vladimir
fail2ban...
Vladimir
и все, нет больше проблем
Дмитрий
https://wiki.mikrotik.com/wiki/Руководства:Инструменты_(Tools)/Wake-on-LAN
Про смену мака там же... :-)
Владимир
Просто вообще говоря о порткноке как таковом. У вас много раз ломали ssh с реальными паролями: 8 знаков из 3-х алфавитов. Я лишь слышал о взломах учёток типа admin/admin, root/toor и прочих словарных комбинаций
Да бесит просто, когда в логе сотни строк попыток входа
Владимир
Да и можно же зафлудить открытый ssh порт. Как и любой другой впринципе
Алексей
всем утра
Алексей
излишняя осторожность хуже не сделает, а вот решение задачи поможет размять мозги, пока что рабочего решения никтло не показал, щас буду пилить логику Иннокентия, ну или Максимкину попробую.
Алексей
мне вчера дали наводку, на то что используется инверсия, не знаю уж во всех ли правилах.
Алексей
данную задачу смогли тип арешить только 10% попробовавших
Moneron 🇷🇺
Инн самую правильную логику, на мой взгляд, обозначил
Алексей
Алексей
это обычный порткнок
Владимир
/ip firewall filter
add action=add-src-to-address-list address-list=STATE_1 address-list-timeout=3s chain=input connection-state=new dst-address=192.168.45.5 dst-port=81,91,101 protocol=tcp
add action=add-src-to-address-list address-list=STATE_2 address-list-timeout=3s chain=input connection-state=related dst-address=192.168.45.5 dst-port=81,91,101 protocol=\
tcp src-address-list=STATE_1
add action=add-src-to-address-list address-list=BRATAN address-list-timeout=12h chain=input dst-address=192.168.45.5 dst-port=81,91,101 protocol=tcp src-address-list=\
STATE_2
Владимир
Опа
Maxim
Поясняй
Владимир
ан нет.. не так... опять простук на один и тот же порт - всё испортит... ща поправлю
Maxim
ан нет.. не так... опять простук на один и тот же порт - всё испортит... ща поправлю
тестовый скрипт дать?
Владимир
Хотя нет... всё так.... если подряд на один и тот же порт стучать - это уже будет не релейтед.. это будет эстаблишед.. а в правиле рилейтед
Владимир
блин.. нигадяй.. давай на ROS скрипт))))))))))
Maxim
)))
Maxim
проверяем из внешки)))
Владимир
ща
Maxim
рилейтед это по-моему соединения порождённые из установленных.. или как-то так. А стук, это всегда новое соединение
Maxim
Ну и если во втором правиле ставить new появляется уязвимость тройного простукивания в один порт
Алексей
у меня уже начинается складываться ощущение что в самой постановке задачи есть какой то изъян
Cumberbatch
Как я понимаю если src с того же порта стукнут в другой порт при установленном соединении то будет related