Алексей
ты мне еще раз свой якобы рабочий вариант скинь плиз
Алексей
я уж запутался
Maxim
Ща, кофе допью и с компа скину
Dmitry
Парни, офтоп: Ни кто в продакшне не юзает вот такое: Байпас Eaton HotSwap MBP 6000i (MBP6Ki)
Moneron 🇷🇺
Как я понимаю если src с того же порта стукнут в другой порт при установленном соединении то будет related
Нет, это будет нью. Релейтед получаются, когда фаервол видит пакет, в котором сказано начать новое соединение, как, например, фтп. Тогда этот нью пакет имеет статус релейтед
Cumberbatch
Maxim
Как я понимаю если src с того же порта стукнут в другой порт при установленном соединении то будет related
А соединение разве будет считаться установленным если был только один пакет?
Алексей
тебя же не пускает в итоге
Moneron 🇷🇺
А соединение разве будет считаться установленным если был только один пакет?
Не будет. Если был ответный — то да
Алексей
в конце же дроп идет
Алексей
бац бац и, мимо...
Maxim
Вот и я о том что релейтед не сработает
Maxim
Сработала
Алексей
вот щас вариант Максима ндао проверить он уже набит вроде
Maxim
Пока он её словами писал, я в правилах описвл
Алексей
А логига Иннокентия не сработала разве?
чисто лоигчески должн аработать осталось реализовать технически
Maxim
Но там 12 правил. Не 6 как говорит Алексей
Cumberbatch
Так хотят же 6-7 правил
Алексей
ну хотя бы начать с 12 дальше будем думать как их оптимизировать
Алексей
главное чтобы работало
Maxim
Высоко вверху. Мы там после нафлудили
Алексей
оно да?
Maxim
удали
Алексей
здесь ошибок нет которые ты правил
Maxim
там опечатка есть
Maxim
Сейчас скину актуальный
Maxim
/ip firewall filter
add action=add-src-to-address-list address-list=port111 address-list-timeout=30s chain=input comment="knock to port 111" disabled=yes dst-port=111 \
in-interface-list=WANs protocol=tcp
add action=add-src-to-address-list address-list=port111+222 address-list-timeout=30s chain=input disabled=yes dst-port=111 in-interface-list=WANs protocol=tcp \
src-address-list=port222
add action=add-src-to-address-list address-list=port111+333 address-list-timeout=30s chain=input disabled=yes dst-port=111 in-interface-list=WANs protocol=tcp \
src-address-list=port333
add action=add-src-to-address-list address-list=white_list address-list-timeout=30s chain=input disabled=yes dst-port=111 in-interface-list=WANs protocol=tcp \
src-address-list=port222+333
add action=add-src-to-address-list address-list=port222 address-list-timeout=30s chain=input comment="knock to port 222" disabled=yes dst-port=222 \
in-interface-list=WANs protocol=tcp
add action=add-src-to-address-list address-list=port111+222 address-list-timeout=30s chain=input disabled=yes dst-port=222 in-interface-list=WANs protocol=tcp \
src-address-list=port111
add action=add-src-to-address-list address-list=port222+333 address-list-timeout=30s chain=input disabled=yes dst-port=222 in-interface-list=WANs protocol=tcp \
src-address-list=port333
add action=add-src-to-address-list address-list=white_list address-list-timeout=30s chain=input disabled=yes dst-port=222 in-interface-list=WANs protocol=tcp \
src-address-list=port111+333
add action=add-src-to-address-list address-list=port333 address-list-timeout=30s chain=input comment="knock to port 333" disabled=yes dst-port=333 \
in-interface-list=WANs protocol=tcp
add action=add-src-to-address-list address-list=port111+333 address-list-timeout=30s chain=input disabled=yes dst-port=333 in-interface-list=WANs protocol=tcp \
src-address-list=port111
add action=add-src-to-address-list address-list=port222+333 address-list-timeout=30s chain=input disabled=yes dst-port=333 in-interface-list=WANs protocol=tcp \
src-address-list=port222
add action=add-src-to-address-list address-list=white_list address-list-timeout=30s chain=input disabled=yes dst-port=333 in-interface-list=WANs protocol=tcp \
src-address-list=port111+222
add action=accept chain=input dst-port=22 protocol=tcp src-address-list=white_list
Алексей
а зачем интерфейс указывал?
Maxim
Использовал порты 111 222 333, таймаут жизни в листе 30 секунд. Потом в белый лист на 30 секунд и открывается ssh
Алексей
хор
Алексей
но нет инверсии, и правил куда больше чем требуется
Алексей
и вариантов как минимум два
Алексей
История долгая, давайте о задаче поговорим
кстати мой вариант недопиленый такой же как твой, я прост не мог понять почему простук на первый порт был тремя правилами остальные четырьмя
Vladimir
кстати мой вариант недопиленый такой же как твой, я прост не мог понять почему простук на первый порт был тремя правилами остальные четырьмя
Кстати, Вы все же правило в построутинг кинули ?
Vladimir
2 раза ?
Алексей
по двум цепочкам
Vladimir
А зачем ? TTL будет больше чем должен
Алексей
читсо логически я тоже онли за построутинг
Владимир
вот... вот это работает.. только что проверил
Владимир
6 правил... нулевое не считается, т.к. это чтобы руки не отрубать самому себе
Владимир
/ip firewall filter
add action=accept chain=input src-address=192.168.45.230
add action=add-dst-to-address-list address-list=KNOCK_111 address-list-timeout=12h chain=input dst-address=192.168.45.5 dst-port=111 \
protocol=tcp
add action=add-dst-to-address-list address-list=KNOCK_222 address-list-timeout=12h chain=input dst-address=192.168.45.5 dst-port=222 \
protocol=tcp
add action=add-dst-to-address-list address-list=KNOCK_333 address-list-timeout=12h chain=input dst-address=192.168.45.5 dst-port=333 \
protocol=tcp
add action=drop chain=input dst-port=22 protocol=tcp src-address-list=!KNOCK_111
add action=drop chain=input dst-port=22 protocol=tcp src-address-list=!KNOCK_222
add action=drop chain=input dst-port=22 protocol=tcp src-address-list=!KNOCK_333
Vladimir
Красава
Владимир
где взять пирожок? 😃
Vladimir
Vladimir
Не это я хотел отправить =\
Vladimir
Ответ оказался таким простым
Vladimir
Блин я потерял веру в свое логическое мышление 😩(
Алексей
В одном варианте 6 правил из них 3 последних с инверсией. 7-е правило это drop SSH, если нет последнего drop all.
В другом варианте 7 + drop.
Алексей
это ка кбы в-общем сказали что там в правилах должно быть :)
Алексей
я шел по пути Максима
Алексей
тепеьр надо найти второй вариант
Алексей
а я не понял в итоге Пандос третье правило нашел?
Алексей
третье решение всмысле
Алексей
Алексей
в плане оптимальности и легкости чтения
Vladimir
Я не думаю что можно будет сделать проще чем панда
Vladimir
Чем проще правила тем лучше
Anonymous
Дмитрий
нуу и чего смотришь ? устанавливай!
Дмитрий
кто знает что означают значения в артибутах роута
scope и taget-scope ?
гугление не дало результатов
Дмитрий
не примениние для рекурсивных маршрутов!!! а значения, скажем чем 10 отличается от 30
Maxim
Опечатка в правилах панды! Он вместо add-src-address делает add-dst-address. А так всё норм, полверка скриптом прошла)
Vladimir
Да он настолько просто написал, что проверять там нечего )
Vladimir
Да вопрос не в доверии, а в том что настолько простые правила что и так понятно! :)