х86?

айпишники баним обычно атакующих, подскажите как лучше читал статью https://bozza.ru/art-372.html

пчм?

а, я имел в виду chr)

Не читайте больше таких статей. Верните стандартный фаер. Ддос обычно измеряется в гигабитах, он вам тупо аплинк весь забьет.

а так по делу, где лучше фильтровать,я так и не понял от вас, если постоянно долбятся ip по рдп и тд

а так по делу, где лучше фильтровать,я так и не понял от вас, если постоянно долбятся ip по рдп и тд

По делу, лучше не выставлять rdp наружу

или список айпи с каких можно заходить на rdp или сначала впн до роутера.

суть не в рдп, а вопрос конкретный, где блокировать айпи которые долбятся

Зачем их блокировать?

ну конечно, брутфорс не слышали о таком?

Слышал, и не только об этом. Брутфорс какого сервиса?

получается вы сказали что не надо, но сослаться не можете ни на что, получается, что вы даёте советы не имеющие смысла

вопрос конкретный был, блокировать ip, вы тыкали что в раве не стоит делать, спросил где надо, много сообщение, но конкретно не сказали где

Эхх... Понятно. Ну что ж и в input / и в forward / и в raw в зависимости от ситуации.

ситуация следующая, базовая настройка роутера, есть внешний ip, на нем vpn, несколько пробросов портов и некоторые ip пытаются форсить почтовый сервер и т.д., задача только в этом, в день до 100 айпишников не просто пару раз пытаются подключиться, так они на постоянной основе пробиваются, в логах их видно, есть правило, которое добавляет из в адресс лист для дальнейшей блокировки, но есть ip /подсети, которые постоянно форсят, вот их уже порядка 800 добавленых в ручную в рав на прероутинг, но вы сказали неправильно в рав добавлять... если в раве один дроп и ничего более. как быть то? нагрузка микрота firewall процесса порядка 60%

суть не в рдп, а вопрос конкретный, где блокировать айпи которые долбятся

а в чём проблема с input/forward?

вот за последние два дня. на роутере статика. никто никуда не долбится. ЧЯДНТ?

у меня проблем нет))) мне сказали что рав нельзя, но почему нельзя так ответ не получил и где лучше тоже )

+/- одно и тоже

понял) спасибо) я просто начинающий, но когда говорят нельзя, но во многих инструкциях именно этот метод блокировки, возникаем вопрос почему нельзя? я без зла, мне просто непонятно, я несколько раз спросил почему нельзя в RAW drop добавлять, ответа так и нет :) то что через все правила проганяет пакет даже после дропа? если так, то на сколько разница в нагрузке ? статью показал которая в интернете, там разница +-5% ....

ситуация следующая, базовая настройка роутера, есть внешний ip, на нем vpn, несколько пробросов портов и некоторые ip пытаются форсить почтовый сервер и т.д., задача только в этом, в день до 100 айпишников не просто пару раз пытаются подключиться, так они на постоянной основе пробиваются, в логах их видно, есть правило, которое добавляет из в адресс лист для дальнейшей блокировки, но есть ip /подсети, которые постоянно форсят, вот их уже порядка 800 добавленых в ручную в рав на прероутинг, но вы сказали неправильно в рав добавлять... если в раве один дроп и ничего более. как быть то? нагрузка микрота firewall процесса порядка 60%

может на блэклист внимательно посмотреть? может там сетями лочить прям? вряд ли с бразилии Вам будут письма слать, к примеру...

Откройте для себя чудесный мир межсетевых экранов. А роутеру - оставьте его задачи.

Зачем вообще логировать ненужный drop.

ну собственно от вас ничего не ожидал, вы так и отвечаете, можно просто ответить позаботьтесь о своей безопасности :))))

Нет, тот кто умеет читать понимает. Микротик не межсетевой экран. Это маршрутизатор, вот и оставьте ему эти задачи, а после него поставьте ngfw.

я думаю вы не бот? О логировании ни слова не было))) вы сами начали умничать, что в рав нельзя и сливаетесь теперь от своего ответа?

Прочтите ещё раз внимательно, те три сообщения которые я написал про raw. Я понимаю, для вас это сложно, но вы постарайтесь.

В raw - в текущих условиях можно без потери производительности только drop-ать пакеты по address-list ( читай по ipset с hash ) RAW не оперирует соединениями и поэтому если там написать 1005019 правил, каждый, каждый пакет по ним пройдет

т.е. по вашим словам первое правило дроп айпи, а 10.000ное accept, то пакет пролетит?????

да? а что такого коллега хочет несвойственного для рутера л3? при чём тут экраны? другой вопрос - откуда у него 60% - это вопрос

Межсетевой экран на forward. Сейчас наверное и это придется объяснять.

По моим словам в raw только drop по адрес листам. Все. Больше там ничего быть не должно. Я третий раз это уже повторяю.

а так по делу, где лучше фильтровать,я так и не понял от вас, если постоянно долбятся ip по рдп и тд

На рдп есть fail2ban, который замечательно работает

причем тут ,rdp?

Вы наверное не поняли. Fail2ban не который ставится на linux-like системы, а на саму винду.

Вы наверное не поняли. Fail2ban не который ставится на linux-like системы, а на саму винду.

rdp defender силами виндового файрволла работает

и fail2ban на сколько я помню для linux, анализатор логов, вопрос был исключительно, почему дроп не в RAW,,, тему можно закрыть)

IDS тоже не панацея. Лучше всё вместе. А самое главное-"Никакого интернета!" 🤣)

Почитал я ваши все сообщения и скажу свое мнение, как я понимаю в raw надо дропать для того чтоб это не доходила до filter чтоб не сильно загружать микрот, по поводу established related конечно они должны быть в filter. Почему из микрота нельзя делать межсетевой экран не понятно (он вроде отлично справляется. Но иногда задумываюсь о покупки отдельного межсетевого (но мне кажется микрот отдично справляется)

Wireguard+VRF+PBR Добрый день, столкнулся с проблемой: ros 7.12.1 VRF1: wg0 (wireguard 10.0.0.1/28) + vlan11 + vlan12 wg0: peer11 (10.0.0.11/32) + peer12 (10.0.0.12/32) - используются как wan интерфейсы для vlan11 при этом для конструкции: /ip firewall mangle add action=mark-routing chain=prerouting new-routing-mark=vlan11 src-address-list=vlan11 add action=mark-routing chain=prerouting new-routing-mark=vlan12 src-address-list=vlan12 # # PBR задача которого хост из vlan11 направлять через 10.0.0.11 в мир, vlan12 хост через 10.0.0.12 # Маршруты активны, оба хоста идут через .12 # /ip route add check-gateway=ping gateway=10.0.0.11@VRF1 routing-table=vlan11 add check-gateway=ping gateway=10.0.0.12@VRF1 routing-table=vlan12 # не работает PBR в разные пиры #pbr #wireguard #vrf

Да все все поняли уже давно, просто не каждый хочет ставить отдельный межсетевой. У кого-то бюджет не тот ну и т д, по разным причинам

Да все все поняли уже давно, просто не каждый хочет ставить отдельный межсетевой. У кого-то бюджет не тот ну и т д, по разным причинам

Если у вас бизнес дорос до того что требуется фаерволл или IDS, а денег нет - значит это неправильный бизнес. В остальных случаях микротик как фаерволл вас не спасет при любой минимальной атаке, либо его перегрузят благодаря фаерволлу, либо количеством трафика просто уложат линк. Отсюда логичный вопрос: а зачем тогда нужны сложные настройки фаерволла со всеми этими танцами с бубном?

Ну тут же не одни руководители it отрасли крупных компаниях сидят, тут и любителей полно. Половине я уверен и не нужно дорогостоящее оборудование, кто то просто играется с микротом для общего развития, кто то изучает сети и решил начать с микротик.

Ну тут же не одни руководители it отрасли крупных компаниях сидят, тут и любителей полно. Половине я уверен и не нужно дорогостоящее оборудование, кто то просто играется с микротом для общего развития, кто то изучает сети и решил начать с микротик.

правильно

если делать дроп правильно, то нагрузка на проц несколько меньше