Innokentiy
молчу-молчу :)
Moneron 🇷🇺
Посто по идее если речь идёт о GRE поверх которого накатывается IPSec, обычно это называют шифрованием в транспортном режиме, когда IPsec занимается только шифрованием трафика. Но IPSec вроде можно настроить и в туннельном режиме, но интерфейсов всё равно не будет.
Во-первых, вы гре закатываете в ипсек, а не наоборот
Алексей
тем что это встроенная в микротик фича
Алексей
Moneron 🇷🇺
и чем он от кнокинга отличается?
Скан портов имеет вес. Когда вес суммарно превышает значение трэшолда – срабатывает правило
😷Драничек
Moneron 🇷🇺
Moneron 🇷🇺
и чем он от кнокинга отличается?
Задача кнокинга – открывать доступ простучавшимся по конкретным портам. Задача psd – закрывать сканеры портов (любых).
Алексей
Задача кнокинга – открывать доступ простучавшимся по конкретным портам. Задача psd – закрывать сканеры портов (любых).
задача псд я так понял не закрывать а детектить а действие ты уже сам выберешь :)
Алексей
сижу и уныло думаю о том что порта три а правила два :)
Moneron 🇷🇺
задача псд я так понял не закрывать а детектить а действие ты уже сам выберешь :)
Ну, раз пошла такая пьянка, то псд – одно из условий правила. А что делать с совпавшими товарищами – да, выбираем сами
Алексей
псд по сути опция
Алексей
ну не суть :)
Maxim
#поразмятьмозги #лабауровняmtctce
Создайте правила(в пустом фаерволле), которые откроют на 1 минуту возможность подключения по SSH после
того, как в течении минуты будет попытка подключиться по портам: 1234, 2345, 3456.
Попытка подключения должна быть в любой последовательности. Т. е. не зависимо от
порядка, в котором порты перебирались должен быть открыт доступ. Между попытками
подключения должно пройти не более 20 секунд. Задача решается с помощью PSD.
Вот смотри, можно повышать вес правила при сканировании на эти порты и срабатывать когда вес равен сумме трёх сканирований. Но по идее это не поможет при тройном сканировании
Maxim
add action=accept chain=input comment=test dst-port=1234,2345,3456 in-inte
WANs protocol=tcp psd=3,20s,3,1
Maxim
вместо акцепта - в БРАТАН-Лист на 1 минуту, ну и от тройного сканирования одного порта не убережёшь этим правилом
Moneron 🇷🇺
вместо акцепта - в БРАТАН-Лист на 1 минуту, ну и от тройного сканирования одного порта не убережёшь этим правилом
Вот насчёт тройного сканирования одного порта надо тестить
Moneron 🇷🇺
А так – идея верная
Maxim
Вот насчёт тройного сканирования одного порта надо тестить
если б порты были до 1024 и после 1024, можно было настроить разный вес и хоть чутка от этого уберечься
Алексей
чота еще и коннекшен нью здесь будет наверное...
Moneron 🇷🇺
Make it clear
Алексей
хотя, фаер пустой же
Moneron 🇷🇺
В данном случае это просто будет лишним условием
Maxim
А разве сканеры не могут притворяться разными флагами соединений?
Dmitry
а у микротика l2tpv3 работает?
Moneron 🇷🇺
Хах, а если фаер пустой – то второй должен быть дроп :)
Dmitry
я не помню:(
Moneron 🇷🇺
Л3впны
Алексей
Хах, а если фаер пустой – то второй должен быть дроп :)
ну первое правило заносит в лист, а второе дропает всех кто лезет на нужный порт не из данного листа
Moneron 🇷🇺
Ну да :)
Dmitry
чукча не писатель и не читатель, чукча вопрошатель и планирователь
Dmitry
ладно, фигня, gre + mpls спасут отца русской демократии
Moneron 🇷🇺
А чем eoip в таком случае не устраивает?
Moneron 🇷🇺
А, тьфу, не vpls же
Dmitry
не для vpls mpls же нужен
Moneron 🇷🇺
Ну и вот инфа ещё: https://forum.mikrotik.com/viewtopic.php?t=60065
Dmitry
шеститонник не умеет д2езм3
Dmitry
l2tpv3
Dmitry
core.local(config-pw-class)#encapsulation ?
mpls Use MPLS encapsulation
Anton
как-то возможно встроенными средствами микротика парсить URL-адрес? например блокировтаь определённые странички на ресурсе, без блокировки всего ресурса по ip
Алексей
пока вот такое вышло, щас буду проверять:
add action=add-src-to-address-list address-list=white-list address-list-timeout=1m chain=input dst-port=1234,2345,3456 protocol=tcp psd=3,20s,1,1
add action=drop chain=input dst-port=2222 protocol=tcp src-address-list=!white-list
Алексей
вот рабочее решение той лабы
Алексей
простук одного порта не сработает
Алексей
в соседнем чате мы поняли что суть лабы была в том что псд палит простук только разных портов, поэтому правило так и работает в два приёма
Алексей
щас вот еще заметил когда лабу делал, отключил все правила в тестовом микротике, а он как начал общаться с соседними микротиками в рабочей сети :) и вроде дискаверинг везде по отключал :)
Maxim
Maxim Shekhovtsov, [21.08.17 13:37]
add action=accept chain=input comment=test dst-port=1234,2345,3456 in-inte
WANs protocol=tcp psd=3,20s,3,1
Maxim Shekhovtsov, [21.08.17 13:37]
вместо акцепта - в БРАТАН-Лист на 1 минуту, ну и от тройного сканирования одного порта не убережёшь этим правилом
Алексей
Алексей
тройное сканирование одного порта исключено
Maxim
она ту в любом случае не работает.
Алексей
псд палит только разные порты
Maxim
Эта "3" проставляет вес до 1024 порта - а у тебя все больше
Алексей
Эта "3" проставляет вес до 1024 порта - а у тебя все больше
ну да согласен в принципе
Maxim
порты до 1024 не пройдут т.к. они в dst заданы жёстко: dst-port=1234,2345,3456
Алексей
да да, согласен, простой свой я проверил на работоспособность
Dmitriy
Всем привет, вопрос опять к сетевикам. Мне тут инженер один сказал, что нельзя самостоятельно делать патч корды, только розетки и кросс. А патч корд должен быть покупной иначе 100% гарантии что он долго проработает нет.
Dmitriy
По мне конечно бред
Алексей
он наверное манагер местного продавца :)
Maxim
Вадим
огонь заявление
Алексей
да ничего он не прав
Алексей
если у него руки из, пардон, жопы, растут пусть покупает
Maxim
Просто вы каждый патч звоните флюком и проверяйте на полное соответствие стандартам частотам и прочему. И если ок - то да, вы круто обжали)
Вадим
если у него руки из, пардон, жопы, растут пусть покупает
заодно посчитает процент брака у поставщика )))
Cumberbatch
Алексей
я своему обжиму лично доверяю больше
Maxim
Вот видите сколько сразу моментов вылезает)
Innokentiy
Всем привет, вопрос опять к сетевикам. Мне тут инженер один сказал, что нельзя самостоятельно делать патч корды, только розетки и кросс. А патч корд должен быть покупной иначе 100% гарантии что он долго проработает нет.
а чем монтаж розеток и кросса (патч-панели?) принципиально отличается от монтажа коннектора?
Вадим
а чем монтаж розеток и кросса (патч-панели?) принципиально отличается от монтажа коннектора?
коса из 4 000 ниток - сильно отличается
Алексей
а чем монтаж розеток и кросса (патч-панели?) принципиально отличается от монтажа коннектора?
набором инструмента :)