@mikrotikclub - страница 3637

Даниил

ACL прописан только на локалхост)

Антон

Даже в локалке, судя по гайду)

Из интернета по тому же протоколу...

Даниил

Winbox SSH access Думаю тема для всех известная, но все же. Если вам вполне хватает CLI и дырявый winbox открывать очень не очень, то можно так: /ip service set telnet disabled=yes set ftp disabled=yes set www disabled=yes set ssh port=22 set api disabled=yes set winbox address=127.0.0.1/32 set api-ssl disabled=yes /ip ssh set forwarding-enabled=local strong-crypto=yes а потом суп с котом 😑 ssh -f -N -L :8291:127.0.0.1:8291 <user>@<hostname> ps: Да, в chain=input его можно не разрешать #winbox #ssh

Тут ацл прописан, без исключения локальной сети)

Даниил

То есть, даже сидя по проводу с ним или ссш или на л2 - что Фуу)

Anton aka e2e4

А вообще хотел спросить, много ли где в России WireGuard туннели фильтруются заграницу?

Много, и не только за границу.

Alexey

Всем привет! Есть домашний роутер (GW1), подключаю к нему новый роутер (GW2) и хочу сделать сети доступными друг для друга. Конфигурация такая: GW1: /ip address add address=192.168.1.1/24 interface=bridge network=192.168.1.0 add address=172.16.1.1/24 interface=ether5 network=172.16.1.0 /ip route add disabled=no distance=1 dst-address=192.168.100.0/24 gateway=172.16.1.2 routing-table=main scope=30 suppress-hw-offload=no target-scope=10 GW2: /ip address add address=172.16.1.2/24 interface=ether1-wan network=172.16.1.0 add address=192.168.100.1/24 interface=bridge-lan network=192.168.100.0 /ip route add disabled=no distance=1 dst-address=192.168.1.0/24 gateway=172.16.1.1 routing-table=main scope=30 suppress-hw-offload=no target-scope=10 Но пинги не идут в соседнюю сеть. Подскажите, куда копать? Фаерволы все отключил

Евгений

Всем привет! Есть домашний роутер (GW1), подключаю к нему новый роутер (GW2) и хочу сделать сети доступными друг для друга. Конфигурация такая: GW1: /ip address add address=192.168.1.1/24 interface=bridge network=192.168.1.0 add address=172.16.1.1/24 interface=ether5 network=172.16.1.0 /ip route add disabled=no distance=1 dst-address=192.168.100.0/24 gateway=172.16.1.2 routing-table=main scope=30 suppress-hw-offload=no target-scope=10 GW2: /ip address add address=172.16.1.2/24 interface=ether1-wan network=172.16.1.0 add address=192.168.100.1/24 interface=bridge-lan network=192.168.100.0 /ip route add disabled=no distance=1 dst-address=192.168.1.0/24 gateway=172.16.1.1 routing-table=main scope=30 suppress-hw-offload=no target-scope=10 Но пинги не идут в соседнюю сеть. Подскажите, куда копать? Фаерволы все отключил

А трассировка что показывает?

Oleg

Коллеги, у кого-то есть включения bgp сквозь тспу? Есть проблемы последних нескольких дней?

Alexey

А трассировка что показывает?

Я даже не могу пингануть из одного роутера другой в их общей сети 172.16.х.х. Даже там тайм аут

Maxim

Traceroute сначала имхо, чтобы понять где обрывается

Кейс

А вообще хотел спросить, много ли где в России WireGuard туннели фильтруются заграницу?

У меня стали недавно фильтроваться. До этого все ограничения проходили стороной, 2,5 года все работало. А теперь ни openvpn, ни wg не работают (выглядит как соединение якобы готово, а траффика не проходит. Udp же, все просто улетает в одну сторону)

Innokentiy

По мне так, сомнительное решение, на ssh больше ломятся

ssh можно по ключу настроить и отключить логин-пароль

Innokentiy

пусть ломятся до морковкина заговенья

Dmitry

пусть ломятся до морковкина заговенья

Так логи будут засираться. К тому же за последние 2 года было много уязвимостей openssh, про winbox давно ничего не слышно

Dmitry

Но лучше ни то, ни другое не держать открытым всему миру

Тимофей🫥

Winbox SSH access Думаю тема для всех известная, но все же. Если вам вполне хватает CLI и дырявый winbox открывать очень не очень, то можно так: /ip service set telnet disabled=yes set ftp disabled=yes set www disabled=yes set ssh port=22 set api disabled=yes set winbox address=127.0.0.1/32 set api-ssl disabled=yes /ip ssh set forwarding-enabled=local strong-crypto=yes а потом суп с котом 😑 ssh -f -N -L :8291:127.0.0.1:8291 <user>@<hostname> ps: Да, в chain=input его можно не разрешать #winbox #ssh

А в чем дырявость winbox?

Maxim

А зачем вообще что-то открывать из управления в мир? Чем вам доступ через например l2tp/ipsec изнутри мешает

Maxim

Хоть ssh хоть winbox

Евгений

Всем привет! Есть домашний роутер (GW1), подключаю к нему новый роутер (GW2) и хочу сделать сети доступными друг для друга. Конфигурация такая: GW1: /ip address add address=192.168.1.1/24 interface=bridge network=192.168.1.0 add address=172.16.1.1/24 interface=ether5 network=172.16.1.0 /ip route add disabled=no distance=1 dst-address=192.168.100.0/24 gateway=172.16.1.2 routing-table=main scope=30 suppress-hw-offload=no target-scope=10 GW2: /ip address add address=172.16.1.2/24 interface=ether1-wan network=172.16.1.0 add address=192.168.100.1/24 interface=bridge-lan network=192.168.100.0 /ip route add disabled=no distance=1 dst-address=192.168.1.0/24 gateway=172.16.1.1 routing-table=main scope=30 suppress-hw-offload=no target-scope=10 Но пинги не идут в соседнюю сеть. Подскажите, куда копать? Фаерволы все отключил

настрой cap, для дома два роутера бесмысленно иметь.

cgooq

Прикольная функция обновления у Winbox 4 в macOS. Нажал обновить, он скачался, а потом… полностью с концами самоудалился. 🤣

С rc6 на 8 стало норм

КЭПпучино

Winbox SSH access Думаю тема для всех известная, но все же. Если вам вполне хватает CLI и дырявый winbox открывать очень не очень, то можно так: /ip service set telnet disabled=yes set ftp disabled=yes set www disabled=yes set ssh port=22 set api disabled=yes set winbox address=127.0.0.1/32 set api-ssl disabled=yes /ip ssh set forwarding-enabled=local strong-crypto=yes а потом суп с котом 😑 ssh -f -N -L :8291:127.0.0.1:8291 <user>@<hostname> ps: Да, в chain=input его можно не разрешать #winbox #ssh

А если ещё винбокс заставить слушать на 22 порту, а ssh на 8291... 😁

Innokentiy

Andrew

А если ещё винбокс заставить слушать на 22 порту, а ssh на 8291... 😁

shodan обманывается?

bmw

А если ещё винбокс заставить слушать на 22 порту, а ssh на 8291... 😁

винбокс -- на 23 порт, ссх -- на 443, а сстп -- на 22й. и пусть через месяц я сам запутаюсь, но в дурку попадут все хацкеры...

Sasha

винбокс -- на 23 порт, ссх -- на 443, а сстп -- на 22й. и пусть через месяц я сам запутаюсь, но в дурку попадут все хацкеры...

Не попадут)

bmw

Не попадут)

А жаль, у меня ещё столько идей было...

Sasha

А жаль, у меня ещё столько идей было...

Найти ssh на 443 порту это как 1+1 По хорошему ничего не должно быть открыто для опознания

bmw

да понятно. это просто шутка же. И таки-да, для определённых IP, если есть статики, можно пускать и так, а остальным всем нельзя. Но порт/пинг-кнокинг открывает доступ на 2 минуты. Причем параметры можно и динамически менять -- например, пинг размерами 975, 100+DDD и 800-DDD (день года), менять по netwatch. Если паранойя выше допустимого.

Max

Господа, так все таки подскажите, что сейчас более предпочтительно, чтоб удаленный доступ сделать?

Sergey

zerotier

Evgeniy

Господа подскажите при настройке гостевой сети в NAT какой надо указывать out.interface ?

Руслан

Господа подскажите при настройке гостевой сети в NAT какой надо указывать out.interface ?

Смотря какая у вас схема. На шлюзе это интерфейс провайдера

Evgeniy

Смотря какая у вас схема. На шлюзе это интерфейс провайдера

Домашний роутер , по видео в Ютубе вводят бридж guest

Evgeniy

Смотря какая у вас схема. На шлюзе это интерфейс провайдера

Спасибо за помощь!

Евгений

Я правильно понимаю что подписать req-запрос (в виде файла) сертификата на микротике можно только в терминале? В GUI - никак?

Кальмарыч

винбокс -- на 23 порт, ссх -- на 443, а сстп -- на 22й. и пусть через месяц я сам запутаюсь, но в дурку попадут все хацкеры...

nmap быстро выявит что к чему, так, что нет, не попадут

V

винбокс -- на 23 порт, ссх -- на 443, а сстп -- на 22й. и пусть через месяц я сам запутаюсь, но в дурку попадут все хацкеры...

Чтобы всех запутать - меняйте порты сервисов рандомно скриптом по шедулеру и пусть порты дня вам сообщением доставляются, а также включите tarpit для всех сканов 😄

Григорий

а не проше(правильно) через vpn подключаться?

Григорий

подключился сделал что надо и отключился

Григорий

даже с телефона можно

ZlyddeN

а не проше(правильно) через vpn подключаться?

VPN тоже порт рандомный можно 😂

Petr

а не проше(правильно) через vpn подключаться?

Правильнее. Но аварийный доступ тоже иметь полезно На впн склонны протухать сертификаты, меняться промежуточные CA, периодически их банит РКН Поэтому port knocking наше все, благо с мобилы тоже без проьлем

Григорий

Правильнее. Но аварийный доступ тоже иметь полезно На впн склонны протухать сертификаты, меняться промежуточные CA, периодически их банит РКН Поэтому port knocking наше все, благо с мобилы тоже без проьлем

тогда уж проще настроить телеграм+микрот

Petr

тогда уж проще настроить телеграм+микрот

Ну это кому что мне страшно такое на сторонний сервис отдавать

Григорий

MikroTik Telegram bot , в ютубе есть вбейте етсь готовый пример от офицалов, и можно отрповлтяь команды на микрот

Григорий

прям команды как есть

Григорий

Ну это кому что мне страшно такое на сторонний сервис отдавать

ну выже в интернете , значит интернету вы доверяете)))

Petr

MikroTik Telegram bot , в ютубе есть вбейте етсь готовый пример от офицалов, и можно отрповлтяь команды на микрот

Я отлично про него знаю но пользоваться в проде желания не испытываю Не верю в себя, мало ли кто акк уведет. Или телеграмм уведет)

Григорий

Я отлично про него знаю но пользоваться в проде желания не испытываю Не верю в себя, мало ли кто акк уведет. Или телеграмм уведет)

а port knocking не боитесь?)))

Petr

а port knocking не боитесь?)))

А что его бояться? Если параноик - делайте не 2-3 ступени, а 10 я бы посмотрел, кто такое ломать будет

Григорий

когда отроется порт наружу

Григорий

вот и параноя

Григорий

если много устройств то возможно будет сделать удобне доступ по статике

Григорий

себе подключили статику и по ней делаем доступы

Григорий

больше 10 лет работаем или vpn или статика ) взломов не было)

Petr

когда отроется порт наружу

Вы точно знаете, как оно раьотает? вы посылаете один пакет, вас добавляет в адрес лист секунд на 15 повторить n раз потом добавить ип посылающего в адрес лист для input ssh на минуту ну да, теоретически пров может такое сниффать и потом за минуту забрутфорсить но сомнительно, очень сомнительго

Григорий

Вы точно знаете, как оно раьотает? вы посылаете один пакет, вас добавляет в адрес лист секунд на 15 повторить n раз потом добавить ип посылающего в адрес лист для input ssh на минуту ну да, теоретически пров может такое сниффать и потом за минуту забрутфорсить но сомнительно, очень сомнительго

сидя дома не имея статики там будет ип открыт общий на весь микроройон например

Григорий

раньше так было покрайней мере, может сегодня подругому

Petr

больше 10 лет работаем или vpn или статика ) взломов не было)

Я знаю места, где винбокс 10 открыт наружу и тоже никто не ломал тут сильно от размеров зависит. Нормальный пароль - и случайный брутфорс только логитспамит

Petr

сидя дома не имея статики там будет ип открыт общий на весь микроройон например

Он будет открыт минуту или можно даже 15 секунд если у вас скрипт дальше порт закрывается и все работает через established related

Григорий

если уж совсем страшно, можно тогда срипт +смс код сделать))) для входа в микрот))

Petr

если уж совсем страшно, можно тогда срипт +смс код сделать))) для входа в микрот))

Можно) но это уже для большой инфрв

Сергей

Все эти игры в секурсность как сигнализация для авто)) От нариков и детишек хватит и простой а от профи и супер навороченный кастомный комплекс не поможет)) Точно так же и тут. Принцип разумности и соразмерности угрозе все же должен быть.

Сергей

Проверенный релиз прошивки, не стандартный логин, надежный пароль. Закрыть все ненужные сервисы. Оставить порт для винбокса с белым списком IP. А для остального использовать впн. И никакие мамины хацкеры ничего не сделают.

Сергей

Остальное, всякие порткнокеры и прочее это баловство как мне кажется)) Профи ломать будут точно не в лоб.

YugFi

Кто-нибудь сталкивался с тем, что в новом контроллере wave2 постоянно отключаются и подключаются точки доступа?

splash

Ребят, посоветуйте outbox точку доступа на 10-15 пользователей в открытую месность на ~200 кв/м&#178; от mikrotik

Andrew

Ребят, посоветуйте outbox точку доступа на 10-15 пользователей в открытую месность на ~200 кв/м&#178; от mikrotik

20*10 или 200*1 ? Если первое, то посмотри серию wAP, какой больше понравится.

Andrew

20*10 или 200*1 ? Если первое, то посмотри серию wAP, какой больше понравится.

Также, не озвучено количество клиентов.

splash

20*10 или 200*1 ? Если первое, то посмотри серию wAP, какой больше понравится.

Первое. Клиентов = пользователей

splash

20*10 или 200*1 ? Если первое, то посмотри серию wAP, какой больше понравится.

Спасибо!

Ettercap

Ребят, посоветуйте outbox точку доступа на 10-15 пользователей в открытую месность на ~200 кв/м&#178; от mikrotik

mANTBox 15s

Valentine

здравствуйте ребята. скажите, пожалуйста, если по данной схеме на другом конце использовать не vps, а микротик у которого провайдер не блочит ютуб, такая схема роутер А ( настроенный по статье) подключен к роутеру B (на котором нет блокировок) по wg , в пирах и там и там стоит 0.0.0.0/0, маршрутизация локалок и там и там есть на всякий случай сделал маскардинг для wg тоннеля на роутере А, в итоге traceroute показывает правильный путь ,но кина нет))) ( 3.1 lan роутера A , 10.1.0.1 wg адрес роутера B , адрес провайдера) tracepath -n youtube.com 1?: [LOCALHOST] pmtu 1500 1: 192.168.3.1 3.400ms 1: 192.168.3.1 0.697ms 2: 192.168.3.1 0.690ms pmtu 1420 2: 10.1.0.1 28.168ms 3: ip адрес провайдера 24.732ms 4: 198.18.5.2 24.979ms

Руслан

здравствуйте ребята. скажите, пожалуйста, если по данной схеме на другом конце использовать не vps, а микротик у которого провайдер не блочит ютуб, такая схема роутер А ( настроенный по статье) подключен к роутеру B (на котором нет блокировок) по wg , в пирах и там и там стоит 0.0.0.0/0, маршрутизация локалок и там и там есть на всякий случай сделал маскардинг для wg тоннеля на роутере А, в итоге traceroute показывает правильный путь ,но кина нет))) ( 3.1 lan роутера A , 10.1.0.1 wg адрес роутера B , адрес провайдера) tracepath -n youtube.com 1?: [LOCALHOST] pmtu 1500 1: 192.168.3.1 3.400ms 1: 192.168.3.1 0.697ms 2: 192.168.3.1 0.690ms pmtu 1420 2: 10.1.0.1 28.168ms 3: ip адрес провайдера 24.732ms 4: 198.18.5.2 24.979ms

в закрепе посмотрите сообщение &quot;ускоряем ютуб&quot;

Valentine

в закрепе посмотрите сообщение &quot;ускоряем ютуб&quot;

Так я по нему делал)

Виталий

Чтобы всех запутать - меняйте порты сервисов рандомно скриптом по шедулеру и пусть порты дня вам сообщением доставляются, а также включите tarpit для всех сканов 😄

Спрячьте все порты в локалку и настройте ВПН.

V

Кто-нибудь сталкивался с тем, что в новом контроллере wave2 постоянно отключаются и подключаются точки доступа?

Нет такого. Проверьте настройки времени в сети. Wave2 очень капризны к расхождениям на разных устройствах.

YugFi

Нет такого. Проверьте настройки времени в сети. Wave2 очень капризны к расхождениям на разных устройствах.

Выяснил причину, коммутатор слишком умный стоит перед ними)

Михаил

Всем привет! Помогите лентяю,пожалуйста, установил Netbox и нигде не могу найти готовые шаблоны устройств для него, кто-нибудь может поделиться своим примером? Кто-то упоминал здесь netbox для ведения ИКС...

Artem

Всем привет! Помогите лентяю,пожалуйста, установил Netbox и нигде не могу найти готовые шаблоны устройств для него, кто-нибудь может поделиться своим примером? Кто-то упоминал здесь netbox для ведения ИКС...

https://github.com/netbox-community/devicetype-library