Dotaz: RouterOS 7.13.4. - Kde najdu "default authentication"?

[Petr]

Ahoj, chtěl bych poprosit o pomoc s nastavením v RouterOS 7.13.4. Nevím jak mám nastavit filtrování MAC adres pro WiFi. Ve starších verzích se vyplo v nastavení WiFi "default authentication" a v Access List se naházely MAC adresy co se může připojit a bylo hotovo. V této verzi vůbec nemůžu najít "default authentication". Předem děkuji za pomoc.

---

---

Odpovědi

[X]

https://help.mikrotik.com/docs/display/ROS/WiFi#WiFi-AccessList

[Petr]

Díky za tip. I když mám takové pravidlo, stejně se tato MAC adresa připojí k WiFi.

/interface/wifi/access-list> /interface/wifi/access-list/print detail

Flags: X - disabled

0 mac-address=B6:32:E2:F0:69:1C interface=wifi2 signal-range=0 time=0s-0s action=reject

[X]

Zde v dokumentaci je to jeste jinak. Mimochodem, zmenit si MAC slo uz pred dvaceti lety, takze to filtrovani nema prakticky zadny bezpecnostni vyznam..

[Petr]

Vůbec netuším na co se mě snažíš navést :( Když chci zakázat všem připojení přes wifi tak to pravidlo je správně?

/interface wifi access-list

add action=reject mac-address=00:00:00:00:00:00 interface=all

to že lze podvrhnout MAC adresa vůbec neřeším.

[Zopper]

Podle letmého náhledu na příklady v tom novém wifi modulu bych řekl, že ti chybí mac-address-mask, protože místo 00:00:00:.. jako wildcard se to teď kryje s maskou a standardně bude maska ff:ff:ff...

[Petr]

Navíc nevím proč mi posíláš odkaz na balíček wireless když mám dotaz na wifi, wireless v novém RouterOS už není, místo něj je tam wifi. Hm, 200 zhlédnutí a nic, myslel jsem si kolik lidí používá tuhle značku.

[X]

Resis funcionalitu kterou nikdo nepouziva, protoze to obejde male decko. Ani jedno tebou definovane pravidlo nefunguje. Proc?

[Petr]

Nevím proč nefunguje, kdybych to věděl tak tu neškemrám o pomoc

[Zopper]

Jedním kliknutím se u toho odkazu dá přejít na manuál pro Wifi, který přišel v 7.13 a to blokování ukazuje: https://help.mikrotik.com/docs/display/ROS/WiFi#WiFi-MACaddressauthentication

A blokování přístupu přes MAC je prostě věc používaná málokým, obzvlášť z Mikrotik uživatelů. Typicky si ji zapnou lidi sami doma na 20 let starém SOHO Edimaxu v domění, jak je to ochrání před sousedovic pubertálním klukem bez toho, že by museli kupovat router s lepším šifrováním, než WEP. Toho sousedovic kluka to zdrží tak na 20 minut a navíc to udělá víc bordelu, než užitku, protože najednou budou v síti 2 zařízení se stejnou IP a MAC.

Asi jediné relevantní využití, které jsem viděl, byla snaha s minimem námahy zablokovat nějakého nočního hlídače, co si dotáhne na vrátnici vlastní notebook, připojí ho do firemní wifi, a zahltí ji, protože pokaždé někde vyšťoural, jaké je nové heslo. Ale i tam bych to spíš než blokováním (které se dotyčný možná bude snažit obejít), řešil nastavením nízkých limitů a izolací toho uživatele od zbytku firemní sítě.

[Petr]

Jenže pokud vložím pravidlo z terminálu

/interface/wifi/access-list
add mac-address=02:00:00:00:00:00 mac-address-mask=02:00:00:00:00:00 action=reject

tak se stejně přes wifi připojím.

[X]

add action=reject mac-address=00:00:00:00:00:00 interface=all

Nesmysl.

add mac-address=02:00:00:00:00:00 mac-address-mask=02:00:00:00:00:00 action=reject tak se stejně přes wifi připojím.

LAA adresy => Vubec nevis co delas. To se potom tezko radi.

[Max]

Já třeba jen koukl pasivně, protože mě to moc nezajímá (nepoužívám) a do dokumentace se mi dívat nechtělo (osobně filtraci MAC nepoužívám, bo k čemu...).
Zdar Max
PS: ještě dodám, že wireless balíček je pro RoS 7.13 dostupný, slouží pro legacy karty jako R52n apod.

[MarV]

Řekl bych, že problém je část "signal-range=0 time=0s-0s", kterou tam cpe WebFig jako default (chyba), pokud se ručně neodstraní (sbalením této položky šipkou nahoru). Při editaci se to vrátí zpět na default a je nutné opět ručně upravit. Přidání pravidla z konzole je bez problémů (v7.13.3):
/interface wifi access-list add action=reject disabled=no mac-address=11:22:33:44:55:66

[Petr]

A tohle

/interface wifi access-list add action=reject disabled=no mac-address=11:22:33:44:55:66

má zablokovat všechny uživatele kteří se budou chtít připojit k wifi mimo těch kteří jsou v access-list-u:

[X]

Ne. Tohle je pravidlo access-listu, ktere blokuje jednu konkretni MAC. Protoze se pravidla vyhodnocuji postupne tak si nejprve laskave vydefinuj action=accept pro vsechny MAC, ktere chces povolit a nakonec dej globalni zakaz pomoci masky mac-address=00:00:00:00:00:00 mac-address-mask=FF:FF:FF:FF:FF:FF a access=reject a uz to neres..

[Petr]

Dal jsem

/interface wifi access-list
add mac-address=00:00:00:00:00:00 mac-address-mask=FF:FF:FF:FF:FF:FF action=reject

a stejně se připojí všichni.

[X]

Ta maska je spatne a matchovat libovolnou MAC nedava noc smysl, kdyz nad tim uvazuju. Nicmene pokud chces zakazat vsechno, tak by mohlo stacit jen specifikovat rozhrani. Viz detailni popis.

/interface wifi access-list add inteface=wifi action=reject

Clovek se porad uci, taky nevim vsechno..

[MarV]

Případně to zredukovat na
/interface wifi access-list add action=reject

[Max]

Díky za pomoc, vyměnil jsem router za uživatelsky přívětivější. Řešit vytvoření jednoho pravidla týden na to nemám čas. Ještě jednou díky.