не, регистратор из-за этих брутфорсеров перезагружается
тогда правило от брута сделать с баном
Stan&slav
Stan&slav
есть сайты куда поток направляется, сейчас попробую найти, они недорогие
Аникей
тогда правило от брута сделать с баном
Им одного соединения хватает. Я хз, как отследить брут в такой ситуации
bmw
если клиентов 25 или меньше, то можно воспользоваться zero tier и закрыть доступ извне
в ОДЗ сказано "клиент ничего не устанавливает"
Stan&slav
Им одного соединения хватает. Я хз, как отследить брут в такой ситуации
а точно проблема с брутом, что рестарт происходит ? что-то не так настроено
Ярослав
ну тут надо обговорить с клиентом уже, что выбора-то у них не особо. либо купить нормальный регистратор, либо получать доступ через VPN/Zero Tier\другой способ, либо сидеть без видео
Stan&slav
https://rtsp.me/ru/ посмотри ещё этот сервис в качестве альтернативы
Аникей
а точно проблема с брутом, что рестарт происходит ? что-то не так настроено
я точно сказать не могу, знаю лишь, что кто-то лезет на 34567 и рег отключается и перезапускается через примерно 30 секунд
Stan&slav
я точно сказать не могу, знаю лишь, что кто-то лезет на 34567 и рег отключается и перезапускается через примерно 30 секунд
а логи в реге есть какие нибудь?
Аникей
Ярослав
обычно когда выбор встаёт между "деньги, совсем ничего или решение проблемы чуть посложнее" выбирают последнее😁
Stan&slav
я думаю, проще на впн посадить, да
просто где гарантии, что на VPN ребутов не будет, может прошивку обновить на реге, может там доступ какой-то на команды открыт, гуглить настройку рега
Stan&slav
На крайняк поток с микрота направить на свой ПК и Wireshark запустить и мониторить
Stan&slav
с порта 34567
Sergio
Можно ли как-то добавлять в адрес-лист по условию? Или может какое-то другое решение есть, я сам не придумал.
В общем:
В локальной сети есть видеорегистратор, открытый портом 34567 в интернет, чтобы с мобилок подключались и смотрели.
На этот порт с рандомных IP-адресов лезут и брутят.
Из-за этого видеорегистратор начинает перезапускаться сам по себе, вообще хз почему.
Я вот подумал, что может можно скрипт какой сделать
1. Я бы рег и камеры вынес в отдельный Vlan
2. Как Предложил Ярослав (фильтры от ДДос, сины, акты, фины)
Фима
Да это xmeye регик, судя по порту. Проще приложуху клиентам установить и закрыть порт снаружи. Пусть через китайское облако зырят
Фима
А рег ребутится не из-за брута, а из-за перегрева в этот момент, там радиаторы говнянские. Надо вентилем допиливать
Innokentiy
3. продолжать страдать
Фима
Изходя из практики, работы с региками XMEye - они могут нормально держать, от силы, 3 одновременных внешних соединения, при 4-8 камерах. Свыше этого он начинает чудить. Перегрев таких региков чреват тем, что могут отлетать USB порты наглухо, могут залипать настройки каналов, так как начинаются проблемы с их внутренней микросхемой, где они держат настройки. Для XMEye региков лучше всего юзать прокладку, в виде того-же nginx или Shinobi. При этом, на просмотр выдавать минимальное качество, запись только по запросу.
К сожалению, клиент всегда хочет дешевле, чтоб нормально отдавать запись, лучше использовать регики Dahua или Uniview. Да, они дороже на порядок, но они могут вытянуть больше.
А вообще, очень порочная практика, давать прямой доступ к регикам, даже на просмотр, сторонних людей. Почти всегда это проблема. Надо всегда юзать прокладку, для нормальной работы
Innokentiy
почему 2 - утопия, решительно непонятно
Фима
Ах да, там ещё, чуть-ли не обязательное условие, харды надо ставить не 7200, а 5400, иначе они просто вылетают. Что так-же создаёт проблемы ребутов
Фима
Если камеры IP, лучше купить Б/У сервер и мозг себе не колотить.
Клиент это не хочет :) Я одним долго доказывал, что им дешевле поставить комп, накидать туда хардов и поставить софтину, типа moovie или shinobi. Нежели ставить 4-5 региков, на их количество камер. Только через год, когда они заебались менять харды и не могли нормально посмотреть картинку в онлайне (очень хотели 5МП камеры) тогда согласились. После этого год тишины и счастья. И видосы скачивают за секунды и просмотр в нормальном виде. Но это попробуй ещё докажи и уговори
Аникей
ну, кстати, мы не обсуждали, чего хочет и не хочет клиент. Я просто хотел малыми потерями обойтись, чтобы не нужно было к каждому залезать в смартфон - эт ж ехать к ним и настраивать впны или что ещё напридумаем. Видимо придётся
Аникей
а тем более сервер поднимать
Аникей
всё решаемо, но смотря в какие сроки и деньги
Руслан
Alex
ну, кстати, мы не обсуждали, чего хочет и не хочет клиент. Я просто хотел малыми потерями обойтись, чтобы не нужно было к каждому залезать в смартфон - эт ж ехать к ним и настраивать впны или что ещё напридумаем. Видимо придётся
Хочет нормально платит деньги, не хочет нормальное - стоит раком. Или тут логика эта не работает?
Андрей
Коллеги, подскажите по настройке нового капсмана:
Есть 4011 и ах3, которую хочу подключить силами капсмана, на 4011 конфиг:
/interface wifi channel
add band=2ghz-ax disabled=no name=channel2.4 width=20/40mhz
add disabled=no name=channel5
/interface wifi security
add authentication-types=wpa2-psk,wpa3-psk disabled=no group-encryption=ccmp name=sec1-LAN
add authentication-types=wpa2-psk,wpa3-psk disabled=no group-encryption=ccmp name=sec2-wifi-guest
/interface wifi
add configuration=cfg2.4-lan configuration.mode=ap disabled=no name="\"AX2\"" radio-mac=78:9A:18:2C:A2:21
add configuration=cfg2.4-guest configuration.mode=ap datapath.bridge=bridge-guest disabled=no mac-address=7A:9A:18:2C:A2:21 master-interface="\"AX2\"" name="\"AX2\"2"
/interface wifi capsman
set enabled=yes interfaces=bridge package-path="" require-peer-certificate=no upgrade-policy=none
/interface wifi configuration
add channel=channel5 datapath=datapath-lan disabled=no manager=capsman mode=ap name=cfg5-lan security=sec1-LAN ssid=Aqua-Mira-5
add channel=channel5 datapath=datapath-guest disabled=no manager=capsman mode=ap name=cfg5-guest security=sec2-wifi-guest ssid=Aqua-Guest-5
add channel=channel2.4 datapath=datapath-lan disabled=no mode=ap name=cfg2.4-lan security=sec1-LAN ssid=Aqua-Mira
add channel=channel2.4 datapath=datapath-guest disabled=no mode=ap name=cfg2.4-guest security=sec2-wifi-guest ssid=Aqua-Guest
/interface wifi datapath
add bridge=bridge disabled=no interface-list=LAN name=datapath-lan
add bridge=bridge-guest bridge-cost=1 client-isolation=yes disabled=no interface-list=GUEST name=datapath-guest
/interface wifi provisioning
add action=create-enabled disabled=no master-configuration=cfg2.4-lan name-format="\"%I\"" radio-mac=78:9A:18:2C:A2:21 slave-configurations=cfg2.4-guest
add action=create-disabled disabled=no master-configuration=cfg5-lan radio-mac=78:9A:18:2C:A2:20 slave-configurations=cfg5-guest
Но клиенты при попытке подключения не получают адреса с дхцп.
интерфейсы wifi с ах3 не попадают в бридж, судя по всему - ЧЯДНТ?
Денис
хотя может это и не правильно
Андрей
Alexey
не, регистратор из-за этих брутфорсеров перезагружается
Не факт что брутфорсеры. Реги XM имеют уязвимость на выполнение команд без авторизации - перед этим массово реги "вешали" "обновлением" прошивки, которое на самом деле не обновление
Аникей
спасибо
Аникей
ну мы уже закрыли порт наружу
Alexey
ну мы уже закрыли порт наружу
Ну, надеюсь поможет, потому что есть подозрение, что теперь могут продолжить атаку через китайоблако.
КЭПпучино
Ну, надеюсь поможет, потому что есть подозрение, что теперь могут продолжить атаку через китайоблако.
Ещё многоступенчатые спам листы неплохо работают для открытх наружу портов.
Регистрируются connection new по условиям в виде адреса и порта и времени нового соединения.
Два соединения не прокатило, например - в дроп на месяц.
🥷
Комрады! А кто удачно смотрит рекламу с Ютьюб по статье Monerona? Вроде все элементарно и должно работать но нет))) запросы на UDP 53 в фаере дропаю, галка Allow DNS Request снята, DHCP раздает только IP микрота в качестве DNS, но traceroute youtube.com упорно ведет мимо l2tp-out1
Чего еще мог забыть проверить?
Руслан
Комрады! А кто удачно смотрит рекламу с Ютьюб по статье Monerona? Вроде все элементарно и должно работать но нет))) запросы на UDP 53 в фаере дропаю, галка Allow DNS Request снята, DHCP раздает только IP микрота в качестве DNS, но traceroute youtube.com упорно ведет мимо l2tp-out1
Чего еще мог забыть проверить?
address-list? либо Policy Based Routing, либо еще что-то из статьи.
та часть статьи, что связана с DNS важна, но это же не все.
Проверяйте попунктно
Alexey
Ещё многоступенчатые спам листы неплохо работают для открытх наружу портов.
Регистрируются connection new по условиям в виде адреса и порта и времени нового соединения.
Два соединения не прокатило, например - в дроп на месяц.
Там другая проблема имеет место быть. Если получили серийник, могут продолжать через облако атаковать
🥷
address-list? либо Policy Based Routing, либо еще что-то из статьи.
та часть статьи, что связана с DNS важна, но это же не все.
Проверяйте попунктно
l2tp-out1 - address-list - WAN. DNS Cache - пустой смущает
🥷
Можно протестить(проверить) как-то маркируется ли пакет?
Руслан
Комрады! А кто удачно смотрит рекламу с Ютьюб по статье Monerona? Вроде все элементарно и должно работать но нет))) запросы на UDP 53 в фаере дропаю, галка Allow DNS Request снята, DHCP раздает только IP микрота в качестве DNS, но traceroute youtube.com упорно ведет мимо l2tp-out1
Чего еще мог забыть проверить?
вот не увидел такого в статье. да и не логично ее выключать, микротик же перестанет отвечать на днс запросы
🥷
вот не увидел такого в статье. да и не логично ее выключать, микротик же перестанет отвечать на днс запросы
В статье написано DNS "закрыт" снаружи. Я как-то не так понимаю эту галку?
Руслан
не правильно понимаете. вы "внутри" своего сегмента. "внаружа" это со стороны интернета, либо провайдера
Руслан
В статье написано DNS "закрыт" снаружи. Я как-то не так понимаю эту галку?
внутри сети должен уж отвечать.
Евгений
Комрады! А кто удачно смотрит рекламу с Ютьюб по статье Monerona? Вроде все элементарно и должно работать но нет))) запросы на UDP 53 в фаере дропаю, галка Allow DNS Request снята, DHCP раздает только IP микрота в качестве DNS, но traceroute youtube.com упорно ведет мимо l2tp-out1
Чего еще мог забыть проверить?
Вот эту самодеятельность уберите
Если фаер стандартный, то там должно быть запрещающее правило на инпут !LAN = drop. Оно и так закрывает днс
IIyа
как выше сказали, тогда поднимать VPN тот же wireguard и конфиг юззерам кидать
В свете постоянных блокировок протоколов VPN (и особенно OVPN и WG), не очень хороший совет. Разве что SSTP заюзать... но там с сертификатами засады могут быть.
Stan&slav
sdnv
Заблочат вг - переедем на vless
Андрей
А у вас на точках бриджи с теми именами, что в datapath есть? (отдельный вопрос, какие интерфейсы на точках вы хотите добавлять в bridge-guest)
На точке минимальный конфиг (вообще), сейчас до конфига ее не дотянусь, но там нет бриджей, там два интерфейса с manager=capsman и включенный cap mode, с указанием адрес контроллера. Ну и на ether1 адрес есть.
Все настройки дальше на контроллере...
Innokentiy
sdnv
какой элегантный способ отстрелить себе гонады
Надо просто указать адрес лист с исключениями своих айпи)
sdnv
Ну я так делал
sdnv
Понятно, что не все можно зафиксировать
Но если есть статичные айпишники - шанс отстрела уменьшается
Petr
На точке минимальный конфиг (вообще), сейчас до конфига ее не дотянусь, но там нет бриджей, там два интерфейса с manager=capsman и включенный cap mode, с указанием адрес контроллера. Ну и на ether1 адрес есть.
Все настройки дальше на контроллере...
Ну вот поэтому и не работает
В wifi-qcom(ac) local-forwarding
то есть трафик терминируется на точке
AX точки умеют воспринимать datatpath, переданный с capsman
Выглядит это так: точка сама динамически добавляет свои wifi интерфейсы в указанный бридж, опционально с тегом
но бридж она не создает
если его нет - никуда ничего не добавится
TL, DR: создаете на точке бридж, пихаете в него ether в сторону роутера, этот же бридж указываете в datapath на капсман
Гостевую сеть пихаете туда же но с тегом, на роутере vlan
Андрей
Ну вот поэтому и не работает
В wifi-qcom(ac) local-forwarding
то есть трафик терминируется на точке
AX точки умеют воспринимать datatpath, переданный с capsman
Выглядит это так: точка сама динамически добавляет свои wifi интерфейсы в указанный бридж, опционально с тегом
но бридж она не создает
если его нет - никуда ничего не добавится
TL, DR: создаете на точке бридж, пихаете в него ether в сторону роутера, этот же бридж указываете в datapath на капсман
Гостевую сеть пихаете туда же но с тегом, на роутере vlan
Попробуем-с.... Но.... WTF? Почему так сложно?;)
Благодарю.
Вообще, выглядит это криво и не гибко совсем...
Petr
Попробуем-с.... Но.... WTF? Почему так сложно?;)
Благодарю.
Вообще, выглядит это криво и не гибко совсем...
Потому что их родные дрова тогось. Они потихоньку допиливают функционал старых драйверов, но пока даже и не близко
Capsman forwarding конечно очень не хватает
Petr
Попробуем-с.... Но.... WTF? Почему так сложно?;)
Благодарю.
Вообще, выглядит это криво и не гибко совсем...
Для ax норм
ну то есть договориться, что на всех точках создаем bridge1 и туда все ether, базово больше и не надо
а вот с ac все грустно
Андрей
Получается, что и заменить точку без вмешательства в конфиг нельзя? Раньше ж просто режим cap кнопкой включали - и все взлетало.
Petr
Получается, что и заменить точку без вмешательства в конфиг нельзя? Раньше ж просто режим cap кнопкой включали - и все взлетало.
Емнип, как минимум свежий капсмод подразумевает как раз бридж1 и все ether в нем
Petr
А если вам management vlan и dhcp всякие, то это уже не капсмод, это контейнерные грузоперевозки получаются (почти с)
Grigory
Комрады! А кто удачно смотрит рекламу с Ютьюб по статье Monerona? Вроде все элементарно и должно работать но нет))) запросы на UDP 53 в фаере дропаю, галка Allow DNS Request снята, DHCP раздает только IP микрота в качестве DNS, но traceroute youtube.com упорно ведет мимо l2tp-out1
Чего еще мог забыть проверить?
имхо в нынешнее время нужно вайтлистить наоборот - то что пускать напрямую, у меня так с 2018 года, через l2tp/ipsec до Нидердандов спокойно 250 мбит идет по спидтесту/iperf, между 4011 и CHR
Grigory
секрет устойчивости прост - мелкие полудомашние вдс, их там полно, если поискать
КЭПпучино
какой элегантный способ отстрелить себе гонады
Нормальная схема, если сервис не критичный.
Ну и для исходной проблемы с портом регистратора, можно вообще пробросить известный порт регика в другой гораздо менее популярный и сообщить пользователям
🥷
имхо в нынешнее время нужно вайтлистить наоборот - то что пускать напрямую, у меня так с 2018 года, через l2tp/ipsec до Нидердандов спокойно 250 мбит идет по спидтесту/iperf, между 4011 и CHR
А можно в личку где vps берете? У меня 5009 - должен не хуже 4011 протаскивать
Null
hEX refresh
128 nand ❤️
https://youtu.be/Zrzq_zPWoQ4
#hex #hardware #upgrade #e50ug
Igor
Stanislav
Wasp
Petr
Innokentiy
Я бы прям очень сильно подождал реальных отзывов. Потому что подозрительно ничего не сказано про IPsec HW. А очень похожий двухъядерный ARM в L009 до сих пор поддержки IpsecHW не имеет
https://mt.lv/hex_october
там arm64 EN7562CT, а у L009 arm IPQ5018
Petr
https://mt.lv/hex_october
там arm64 EN7562CT, а у L009 arm IPQ5018
Понял, не увидел
Но про ipsec тем не менее ни слова
Innokentiy
Понял, не увидел
Но про ipsec тем не менее ни слова
с заметной вероятностью его разгрузки там не будет, пушо в спеках на свои чипы производитель ничего про шифрование не упоминает https://www.airoha.com/
Petr
с заметной вероятностью его разгрузки там не будет, пушо в спеках на свои чипы производитель ничего про шифрование не упоминает https://www.airoha.com/
Ну тогда честно говоря спорный рефреш выходит. Совсем бесполезным не назовешь (кто сказал Wireguard?), но и везде не потыкаешь.