abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 12:11 | Nová verze

Po sedmi měsících vývoje od vydání verze 4.9 byla vydána nová verze 4.10 svobodné náhrady proprietárních BIOSů a UEFI coreboot (Wikipedie). Na vývoji se podílelo 198 vývojářů. Provedli 2538 změn. Přidána byla podpora pro 28 mainboardů. Podpora pro 7 mainboardů byla odstraněna. Aktualizována byla také dokumentace.

Ladislav Hagara | Komentářů: 0
dnes 01:44 | Nová verze

Byla vydána nová verze 12.1 open source alternativy GitHubu, tj. softwarového nástroje s webovým rozhraním umožňujícího spolupráci na zdrojových kódech, GitLab (Wikipedie). Představení nových vlastností v příspěvku na blogu.

Ladislav Hagara | Komentářů: 2
včera 11:22 | Zajímavý článek

Článek Cheat: když je manpage příliš dlouhá na MojeFedora.cz představuje v Pythonu napsaný nástroj cheat pracující s cheatsheety aneb tím nejdůležitějším z manuálových stránek. Příkaz cheat místo dlouhé manuálové stránky zobrazí krátký seznam příkladů použití daného příkazu.

Ladislav Hagara | Komentářů: 12
21.7. 02:22 | Nová verze

Byla vydána verze 1.5.0 emulátoru terminálu Terminology (GitHub) postaveného nad EFL (Enlightenment Foundation Libraries). Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
20.7. 21:55 | Nová verze

Byla vydána verze 0.72 populárního telnet a ssh klienta PuTTY. Podrobnosti v přehledu změn. Řešeno je také několik bezpečnostních chyb. Jejich nalezení bylo sponzorováno Evropskou komisí.

Ladislav Hagara | Komentářů: 0
19.7. 21:44 | Zajímavý článek

DataSpii Report podrobně rozebírá únik citlivých dat skrze osm rozšíření webových prohlížečů (Hover Zoom, SpeakIt!, SuperZoom, SaveFrom.net Helper, FairShare Unlock, PanelMeasurement, Branded Surveys, Panel Community Surveys) a jejich téměř okamžitý prodej.

Ladislav Hagara | Komentářů: 0
19.7. 11:44 | Zajímavý článek

Článek na Fedora Magazine rozebírá možnosti modifikace lokálních účtů Windows, například resetování hesla, pomocí Fedory nebo libovolné jiné linuxové distribuce a nástroje chntpw.

Ladislav Hagara | Komentářů: 5
19.7. 00:11 | Nová verze

Po více než dvou měsících od vydání Red Hat Enterprise Linuxu 8 byl ve verzi 8 vydán také jeho klon Oracle Linux (Wikipedie). Podrobnosti v příspěvku na blogu.

Ladislav Hagara | Komentářů: 22
18.7. 12:11 | Komunita

Na YouTube byly zveřejněny videozáznamy přednášek z konference a setkání vývojářů a uživatelů svobodných grafických softwarů Libre Graphics Meeting 2019.

Ladislav Hagara | Komentářů: 1
17.7. 20:00 | Komunita

Tým Fedory pro diverzitu a inkluzi organizuje Fedora Women’s Day (FWD) 2019. Oslavy žen přispívajících do open source projektů včetně Fedory budou probíhat po celém světě v měsících září a říjen. Návrhy akcí lze předkládat do pátku 23. srpna 2019.

Ladislav Hagara | Komentářů: 151
Používáte ještě 32bitový software na PC?
 (18%)
 (14%)
 (19%)
 (47%)
 (7%)
 (28%)
Celkem 180 hlasů
 Komentářů: 12, poslední dnes 13:26
Rozcestník

Dotaz: Mikrotik zakladna konfiguracia

23.5. 14:05 googler
Mikrotik zakladna konfiguracia
Přečteno: 424×

caute

na zaklde mojej temy : Dotaz: Router a AP - DDWRT/OpenWRT

som si kupil rb3011 + ubi ap a potreboval by som si overit zakladnu konfiguraciu routera (asi hlavne firewall).

Postupoval som podla tohto navodu s malymi odlisnostami: Mikrotik poprvé: základní konfigurace

  • samozrejme som pouzil ip podla vlastneho uvazenia ale aj ja som pouzil podsiet /24
  • namiesto oznacenia portov master a slave som vytvoril klasicky bridge a do neho som nahadzal vsetky porty okrem eth1 lebo podla toho co som zistil routeros uz nepodporuje oznacovanie portov master/slave + u vsetkych portov v bridgei som povolil hw offroad
  • zatial som zakazal vsetky sluzby okrem winbox + som zmenil port na winbox a ssh + som pre moj ucet povolil pristup iba z konkretnych ip
  • na pripojenie do inteernetu pouzivam pppoe klienta ktoreho som uz nastavil ale router mam zatial schvalne offline lebo si chcem najskor overit ake nastavenia firewallu alebo ine treba doplnit/zmenit.
  • pppoe pripojenie som NATol podla spominaneho navodu

vo firewall filtry mam zatial iba skopirovane pravidla podla navodu:

Flags: X - disabled, I - invalid, D - dynamic
0  D ;;; special dummy rule to show fasttrack counters
     chain=forward action=passthrough

1    ;;; FastTrack
     chain=forward action=fasttrack-connection connection-state=established,related

2    ;;; Established, Related
     chain=forward action=accept connection-state=established,related

3    chain=input action=accept protocol=icmp

4    ;;; Drop invalid chain=forward action=drop connection-state=invalid log=yes log-prefix="invalid"

5    ;;; Drop incoming packets that are not NATted
     chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1 log=yes log-prefix="!NAT"

6    ;;; Drop incoming from internet which is not public IP

Pravidlu c. 6 vobec nerozumiem. Viem si ten koment samozrejme prelozit tak ze sa zablokuju vstky prich. pripojenia z wanu ktore nemaju verejnu ip, ale nerozumiem preco filter zobrazuje len comment k tomuto pravidlu bez ziadnych prikazov (chain, action...). Pravidlo som do terminalu zadal takto:

add action=drop chain=forward comment="Drop incoming from internet which is not public IP" in-interface=ether1 log=yes log-prefix=!public src-address-list=not_in_internet

Pravidlu cislo 6 nerozumiem aj preto ze podla pravidla 5 by sa mala blokovat vsetka prichadzajuca komunikacia s vynimkou tej ktoru manualne povolim. Rozumiem tomu tak ze pravidlo cislo 5 blokuje vsetku prich. komunikaciu a keby som nahodou NATol nejake PC/server atd... tak to pusti ostatne nie. Takze ak je to tak ako som to pochopil preco do toho motat este 6. pravidlo o blokovani neverejnych IP?

Address list vo firewalle mam tiez len skopirovany z navodu a neviem ci sa address list moze dostat do konfliktu s mojimi nastavenymi adresami v mikrotiku lebo ako som uz pisal ja som pri nastaveni pouzil IP podla vlastneho uvazenia a nie priamo tie z

navodu.

Neviem co teda presne pouzite address listy znamenaju (moze mi to niekto vysvetlit?) ale mam to takto:

add address=0.0.0.0/8 comment=RFC6890 list=not_in_internet add address=172.16.0.0/12 comment=RFC6890 list=not_in_internet
add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet
add address=10.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=169.254.0.0/16 comment=RFC6890 list=not_in_internet
add address=127.0.0.0/8 comment=RFC6890 list=not_in_internet
add address=224.0.0.0/4 comment=Multicast list=not_in_internet
add address=198.18.0.0/15 comment=RFC6890 list=not_in_internet
add address=192.0.0.0/24 comment=RFC6890 list=not_in_internet
add address=192.0.2.0/24 comment=RFC6890 list=not_in_internet
add address=198.51.100.0/24 comment=RFC6890 list=not_in_internet
add address=203.0.113.0/24 comment=RFC6890 list=not_in_internet
add address=100.64.0.0/10 comment=RFC6890 list=not_in_internet
add address=240.0.0.0/4 comment=RFC6890 list=not_in_internet
add address=192.88.99.0/24 comment="6to4 relay Anycast [RFC 3068]" list=not_in_internet

+ zoznam povolenych ip s pristupom do routera

Este sem pridam vypis nastavenia natu:

Flags: X - disabled, I - invalid, D - dynamic
0 I  ;;; pppoe-out1 not ready
     chain=srcnat action=masquerade src-address=X.X.X.0/24 out-interface=pppoe-out1

Predpokladam ze not ready je len pretoze router neni na nete

V navode su tiez napisane pravidla pre vyhnutie sa brute force utokom ale tie som zatial nepouzil. Je to nutne?

Viem ze navod z ktoreho vychadzam je starsi a preto sa pytam co by som mal este pridat/zmenit/odobrat aby bol router schopny standardnej bezpecnej prevadzky? Nasledne sa uz sam budem pokusat ucit metodou pokus - omyl pracovat s roznymi moznostami routera.

Diky za rady a odpovede na otazku ohladom address listu a 6. pravidla.

BTW: Doteraz som bol zvyknuty na SOHO routery typu asus tplink a v nich bud ddwrt alebo original fw

BTW2: Sorry za formatovanie ale nefunguje mi tu editor


Řešení dotazu:


Odpovědi

23.5. 14:30 NN
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia
Fitrovani bogon IP a DDoS/Scan za tebe s velkou pravdepodobnosti udela ISP.
Max avatar 23.5. 15:16 Max | skóre: 67 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia
Upravil jsem ti v tom čaji formátování. Každopádně pravidlo číslo 6 ve výpisu nemáš, jen komentář. Asi jsi nevložil celý výpis z firewallu.
Zdar Max
Měl jsem sen ... :(
23.5. 15:50 googler
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia

Diky. Vypis bol cely a pravidlo c. 6 som vlozil tymto prikazom

add action=drop chain=forward comment="Drop incoming from internet which is not public IP" in-interface=ether1 log=yes log-prefix=!public src-address-list=not_in_internet

ale vo vypise mam z neho iba comment neviem preco.

Este sa chcem spytat: Na co vseobecne v mikrotiku sluzia address listy? Povodne som si totiz myslel ze su to zoznamy viacerych IP adries pricom pre kazdy zoznam nastavim jednu akciu spolocnu pre vsetky IP v danom zozname (napr. drop, accept, forward atd...) ale teraz ked som sa zamyslel nad tym navodom podla ktoreho som tie IP pridal tak vidim ze tam chyba nejaky "prikaz" co sa ma s tymi IP urobit. Aky to ma teda zmysel? Myslim ten address list

Max avatar 23.5. 16:52 Max | skóre: 67 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia
Je to tak, jak píšeš. Adress list slouží k tomu, aby se na skupinu IP aplikovalo nějaké pravidlo a nemuselo se to pravidlo psát milionkrát pro každou IP zvlášť.
V tom příkladu, ze kterého jsi čerpal, se pravidlo na address list v rámci firewallu uplatňuje a sám jsi ho i zmínil :
add action=drop chain=forward comment="Drop incoming from internet which is not public IP" in-interface=ether1 log=yes log-prefix=!public src-address-list=not_in_internet
Tj. provést drop na forwardu všeho, co má IP z lokálních segmentů, protože se předpokládá, že lokální IP na internetu nemají co dělat, resp. se zřejmě předpokládá, že to nebude dobrý provoz.
Jenomže pokud toto není router s veřejnou IP a je před ním ještě něco , tak se tam podobné IP vyskytovat mohou. Osobně nevidím důvod takové pravidlo aplikovat.
Zdar Max
Měl jsem sen ... :(
23.5. 17:49 googler
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia

Diky za vysvetlenie. Lepsie som si pozrel niektore pravidla a uz som asi pochopil ako funguje address list resp. pochopil som ze ip do neho sa vkladaju pri pisani celeho pravidla cez firewall filter to som predtym nevedel a preto ma to pomylilo. To 6. pravidlo teda vymazem ked neni potrebne lebo aj tak mi vo vypise zobrazuje len comment takze mozno to pravidlo ani nefunguje tak ako by malo.

Pravidlo 5 teda chapem dobre ked ho chapem tak ze bude blokovana vsetka prichadzajuca komunikacia s vynimkou tej ktoru manualne povolim resp. ked neNATujem nic tak dovnutra neprejde nic?

Celkovo si myslite ze tych 5 pravidiel + vypnute sluzby a zmene porty staci na standardne bezpecnu prevadzku routera?

Max avatar 23.5. 18:36 Max | skóre: 67 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia
Osobně si myslím, že změna čísla portu pro nějaké služby je naprostá zbytečnost, která jen komplikuje práci správci. Kdo má stále myslet na to, že tady není tento výchozí port, ale jiný atd. Navíc pokud mám děravou službu, tak změna portu opravdu není řešení.
Pokud chci, aby na ty porty nikdo jiný, než já, nepřistupoval, tak prostě na to hodím pravidlo a dám si své IP na whitelist a hotovo. A tak to také dělám, mám address-list mgmt, kde mám IP, ze kterých mohu přistupovat na administraci. Standardně mám povolený jen ssh a winbox.
A MAC-Server mám povolený jen pro mgmt vlanu / síťovku / bridge, resp. pro mgmt interfaces-list.

Podle mně pravidlo 5 nedává smysl, resp. je úplně zbytečný.
Pro wanku úplně stačí něco jako toto :
  • INPUT - povolit estabilished / related komunikaci
  • INPUT - povolit icmp
  • INPUT - drop all
Zdar Max
Měl jsem sen ... :(
30.5. 21:11 googler
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia

v logu sa mi opakovane zobrazuju tieto zaznamy a neviem co presne znamenaju:

firewall,info invalid forward: in:LAN out:pppoe-out1, src-mac XXXX, proto TCP (ACK,FIN), XXX.XXX.XXX.XXX:56872->185.14.116.10:80, len 40

20:15:30 firewall,info invalid forward: in:LAN out:pppoe-out1, src-mac XXXX, proto TCP (RST), XXX.XXX.XXX.XXX:53024->31.13.84.36:443, len 40

20:15:42 firewall,info invalid forward: in:LAN out:pppoe-out1, src-mac XXXX, proto TCP (ACK,FIN), XXX.XXX.XXX.XXX:56872->185.14.116.10:80, len 40

20:16:12 firewall,info invalid forward: in:LAN out:pppoe-out1, src-mac XXXX, proto TCP (ACK,FIN), XXX.XXX.XXX.XXX:56872->185.14.116.10:80, len 40

pravidla firewallu pouzivam tieto (nakoniec som postupoval podla oficialne odporucanych pravidiel priamo na mikrotik wiki

Flags: X - disabled, I - invalid, D - dynamic

0 D ;;; special dummy rule to show fasttrack counters

chain=forward action=passthrough

1 ;;; default configuration

chain=input action=accept connection-state=established,related

2 chain=input action=accept src-address-list=allowed_to_router

3 chain=input action=accept protocol=icmp

4 ;;; FastTrack

chain=forward action=fasttrack-connection connection-state=established,related

5 ;;; Established, Related

chain=forward action=accept connection-state=established,related

6 chain=input action=drop

7 ;;; Drop invalid

chain=forward action=drop connection-state=invalid log=yes log-prefix="invalid"

8 ;;; Drop tries to reach not public addresses from LAN

chain=forward action=drop dst-address-list=not_in_internet in-interface=LAN out-interface=!LAN log=yes log-prefix="!public_from_LAN"

9 ;;; Drop incoming packets that are not NATted

chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1 log=yes log-prefix="!NAT"

10 ;;; Drop incoming from internet which is not public IP

chain=forward action=drop src-address-list=not_in_internet in-interface=ether1 log=yes log-prefix="!public"

11 ;;; Drop packets from LAN that do not have LAN IP

chain=forward action=drop src-address=!XXX.XXX.XXX.0/24 in-interface=LAN log=yes log-prefix="LAN_!LAN"

Ktore pravidlo sposobuje tie zaznamy resp. preco tie zaznamy vznikaju?

Řešení 1× (googler (tazatel))
Max avatar 30.5. 21:21 Max | skóre: 67 | blog: Max_Devaine
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia
V pravidlech máš definovaný "log-prefix" proto, aby jsi viděl, jaké pravidlo ten záznam v logu způsobuje. Tak hádej, v jakém pravidle máš pojmenované logování "invalid" :).
Zdar Max
Měl jsem sen ... :(
30.5. 22:15 googler
Rozbalit Rozbalit vše Re: Mikrotik zakladna konfiguracia
Sorry nevsimol som si ten prefix :D

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.