Innokentiy
https://ru.wikipedia.org/wiki/Ping_of_death
Innokentiy
если уж совсем кошерно делать, то можно прописать правило, которое будет пропускать только заведомо нормальные пары тип-код
Innokentiy
и блокировать всякие странные вещи типа icmp redirect
Алексей
когда кучу устройств пингуют с подменой срц на адрес жертвы
Innokentiy
там амплификации же нет, какой смысл
Innokentiy
амплификация может быть, если бродкаст пингать, но большинство современных ос на такие штуки не ведутся
Innokentiy
да и нормальные файрволлы такие штуки вообще прокусывают на раз
Алексей
амплификация может быть, если бродкаст пингать, но большинство современных ос на такие штуки не ведутся
то есть если я буду пинговать особыми пакетами мильон устройств подменяя срц-адрес на адрес жертвы, то такой фокус нынче не пройдёт?
Алексей
от этого проприетарно защищаются или как-то на уровне смекалки админа? :)
Sergey
ресурсов по генерации таких пакетов у тебя не уйдет ли больше?
Sergey
а они будут блокировать эхо ответы на свой адрес, они же сами не пингуют
Innokentiy
да пусть даже они будут "отвечать" "жертве"
Innokentiy
пусть даже пакетами того же размера
Sergey
почему нет, на них будет атака с той же силой сколько ты сам сгенерируешь, то есть твои ресурсы будут больше расходоваться
Алексей
а они будут блокировать эхо ответы на свой адрес, они же сами не пингуют
им приходит запрос и они отвечают на другой адрес
Innokentiy
но ты отправил миллион пакетов по 65 килобайт
Sergey
им придет ответ
Sergey
с чего им придет запрос то
Innokentiy
и жертве пришло миллион пакетов по 65 килобайт
Innokentiy
в чем профит?
Алексей
им придет ответ
нет им придет запрос на ответ а ответ от них пойдёт на жертву и устройств может быть много
Sergey
так жерте придет ответ который она не запрашивала, она сразу и отфильтрует
Innokentiy
здесь намек на ддос и переполнение полосы
Sergey
нет им придет запрос на ответ а ответ от них пойдёт на жертву и устройств может быть много
ты сразу жертву пингуешь?
Innokentiy
но с тем же успехом можно сразу жертву пингать
Алексей
тогда к ним придет ответ, а не запрос
я через тебя буду закидывать ответами жертву :) занимать твои ресурсы
Innokentiy
ты как атакующий можешь подменить сорс на, например, мой адрес, и отправить такой пакет жертве
Алексей
и ресурсы жертвы
Innokentiy
ресурсы жертвы занимаются точно так же
Innokentiy
даже эффективнее
Алексей
ты как атакующий можешь подменить сорс на, например, мой адрес, и отправить такой пакет жертве
и жекртва пошлёт ответ на него :)
Innokentiy
ты можешь сразу ответ послать
Innokentiy
это вообще ничем не будет отличаться от схемы с промежуточным хозяином
Innokentiy
только потери на промежуточном хозяине отсутствуют
Алексей
но схема с промежуточным хозяином имеет место быть, возможно беспалеваность имеет место.. хотя...
Innokentiy
схема с промежуточным хозяином имеет смысл, когда есть ампилфикация
Innokentiy
ты отправил килобайт, а жертве ответ пришел на мегабайт
Innokentiy
например, с открытыми днс-релеями эта схема работает
Innokentiy
когда хакир от имени жертвы отправляет куче днс-релеев запрос на одну А-запись, а они "отвечают" жертве хреновой тучей ресурсных записей
Алексей
когда хакир от имени жертвы отправляет куче днс-релеев запрос на одну А-запись, а они "отвечают" жертве хреновой тучей ресурсных записей
вот может я перепутал чего, вот видимо да, днс-релей.
Innokentiy
таких вариантов схем с амплификацией много
Innokentiy
NTP недавно был очень популярен
Innokentiy
memcache
Innokentiy
угу. запрос маленький, ответ большой
Sergey
любые удп протоколы которые отвечают ответом большим чем в запросе
Алексей
спасибо, просвятился.
Dmitrii
коллеги, есть схема SSTP на три офиса, интерфейсы добавлены статикой, поверх OSPF. Поставил поменьше hello&dead. После внезапного отключения света в одном из офисов он подключился к двум другим и не попал оба раза в статический интерфейс SSTP на них, создались два динамических. соответственно OSPF лежит без согласования. После перезапуска клиентов sspt все поднялось нормально. Кто с таким сталкивался? В чем может быть дело?
Evgeny
Раз уж зашла речь про файерволл, встречал кто-то толковую статью с бест практис по настройке файера в Микроте для IPSEC? В дефолтной конфигурации сейчас прописываются правила с критерием IPSEC Policy in:ipsec. Собственно интересно, как более корректно и наиболее безопасно настроить это дело для L2TP/IPSEC и GRE/IPSEC например. Потому что в примерах на Вики этот вопрос как-то не особо затрагивается и статейки там подустарели.
А в интернетах регулярно встречаю статьи типа вот этой, где указанных правил явно недостаточно.
https://jcutrer.com/howto/networking/mikrotik/routeros-l2tp-ipsec-vpn-firewall-rules
Alexey
у меня там pptp периодически отваливается
Alexey
приходится передергивать
Alexey
не часто, но раз в пару месяцев случается
Dmitrii
дада, оно. Переподключается, и бинд само не подхватывает, несмотря на то, что ничего не менялось
Dmitrii
обычное передергивание помогает.
Alexey
клиент видимо быстрее соображает, что разрыв связи и переподключается. а сервер слоупочит и старое соединение еще активное висит
Master
Ainur
Кто настраивал связку макбук и микротик l2tp ipsec
Bomberman
В SwOS где зеркалирование порта настроить?
Обсессивно беспечное начало основополагающих раздумий
Так же через манглы?
Alex
Обсессивно беспечное начало основополагающих раздумий
Все
Обсессивно беспечное начало основополагающих раздумий
С маками одна проблема была. Когда сервер висел на бордере с 2мя фуллвью, то роуты долго строились и соединение разрывалось. Решилось переходом на иной некрот.
Alexey
кто нибудь пробовал ипсек между микротом и циской поднимать?
Обсессивно беспечное начало основополагающих раздумий
Что за набеги?
Vladimir
Я со всякими железками поднимал ipsec
Alexey
s-terra