Сейчас просматривают тему: 0 -> --, и гостей: 1

Защита роутера Mikrotik от брутфорса VPN туннеля

Ссылка на пост #1 Добавлено: 5 октября 2015 12:27
Автор темы  
Полное имя: Макс
Группа: Администраторы
Азъ: библиАтекарь
Возраст: 34 Водолей
Пол:
С нами: 9 лет 10 месяцев
Сообщений: 6696
Поблагодарил: 5725
Благодарностей: 21767
Предупреждений: 0

Награды:

      

Иногда нужно защитить свой роутер от брутфорса VPN туннеля. Если с SSH это решается защитой от брутфорса по новым соединениям то с L2TP это не подойдет, так как обмен сообщениями идет в рамках одной сессии. И с точки зрения роутера устанавливается только одно соединение (после неправильного пароля связь не обрывается).
Тут нам на помощь придет небольшое знание структуры пакетов.

Защита роутера Mikrotik от брутфорса VPN туннеля


Открываем поток, вскрываем пакет ответа о неправильном пароле и что же мы видим. Правильно – обычный текст о том что “нифига” не правильно. Ага, значит по этому мы и будем ловить

1м правилом режем коннекты кулхацкеров, после чего строим защиту.

Код:[Выделить]
/ip firewall filter add action=reject chain=input src-address-list=black


если action=drop то пакеты по тихому дропаются.
если action=reject (оно по дефолту будет отправлять сообщение icmp network unreachable) то комп атакующего будет получать сообщение что данная сеть недоступна. Разница в том что при drop отправитель ничего не будет знать о судьбе пакетов и будет продолжать их слать,
а при reject его устройство получит уведомление что сеть недоступна и возможно перестанет отправлять нам пакеты.
Но reject больше грузит процессор роуетра. Поэтому нужно в каждом отдельном случае решать, что будет лучше с точки зрения нагрузки на роутер

Код:[Выделить]
/ip firewall filter add action=add-dst-to-address-list address-list=black chain=output content=”M=bad” dst-address-list=level2 add action=add-dst-to-address-list address-list=level2 address-list-timeout=1m chain=output content=”M=bad” dst-address-list=level1 add action=add-dst-to-address-list address-list=level1 address-list-timeout=1m chain=output content=”M=bad”


Логика простая – если юзер логонится и получает ответ о непрвильном пароле то его заносим в адрес-лист1 на одну минуту. Если в течении этой минуты он опять неверно логонится то на минуту заносим его в адрес-лист2. Если же будучи в адрес-листе2 он опять неверно логонится то ему прямой путь в адрес-лист запрещенных. Потом можно дропать все пакеты от адресов из адрес-листа запрещенных, это как вам будет нужно.
Количество уровней выберете сами, 2-3 самое оптимальное число. что бы и себя не забанить если случайно 2 раза ошиблись и не мучать роутер долгими брутфорсами “дятлов” из интернета

С ув.erazel
Наша группа в Viber, Наша группа в Telegram, Наша группа в ФБ, Наша группа в ВК, Мы на Youtube
«Все постоянно твердят об авторских правах, но никогда - об авторских обязанностях.» © Жан-Люк Годар

Мой телевизор: Samsung LE-32C550J1WXUA, Samsung UE55D6100, Samsung UE65°ES8007

Мой ресивер: Sat-Integral S-1210 HD Aron, Sat-Integral TH-7200 PVR I, iNeXT HD1, GI Vu+ Duo 2

Мои спутники: 4°W+4.8°E+9°E+13°E+36°E+75°E+85°E+90°E

Cказали Спасибо: 1 : zmej74
Информация

Посетители, находящиеся в группе Гости, не могут оставлять сообщения в данной теме.
Наш паблик Telegram Наш паблик Viber

    Телесериалы ведущих мировых каналов — теперь в базовом пакете НТВ?ПЛЮС

    Бесплатный доступ к каналу Amedia HIT весь сентябрь!

    «Мультимания» и «Первый Вегетарианский» — новые каналы на платформе НТВ?ПЛЮС

    Канал «Мультимания» вошел в пакет «Детский Запад», «Первый Вегетарианский» – в пакет «Развлекательный Запад».

    Подключите цифровое телевидение и получите 5000 рублей на счет!

    Отличная новость для новых абонентов НТВ?ПЛЮС: подключайтесь до 30 ноября и получите 5000 бонусных рублей на счёт!

    Изменение в вещании НТВ?ПЛЮС

    20 сентября 2017 года на платформе НТВ?ПЛЮС прекращается вещание телеканала CBS Drama.

    Обновляется программное обеспечение для ТВ приставок NTV?PLUS 1 HD VA и NTV?PLUS 1 HD VA PVR

    Доступна новая версия программного обеспечения – 4.3.

    Телекарта и AMEDIA представляют акцию «Сказки для взрослых»!

    Подключите пакет AMEDIA Premium совершенно бесплатно на два месяца и смотрите главные осенние премьеры до конца ноября!

    10000 на счёт – «Телекарта» продлевает акцию для новых абонентов!

    Стартует сентябрьский розыгрыш для абонентов с услугой «Приоритет»

    «Приоритет» – это комплексная услуга для абонентов «Телекарты», предоставляющая своим пользователям право на эксклюзивное обслуживания, уникальные услуги и предложения.

    Подарок от «Телекарты» для абонентов: бесплатный доступ к телеканалу «AMEDIA Hit» в течение месяца!

    Начиная с 1 сентября абоненты «Телекарты» получают прекрасную возможность смотреть лучшие сериалы и фильмы на телеканале «AMEDIA Hit».

    Все каналы SPI – теперь в «Телекарте Онлайн»!

Телепрограмма

СТБ
23:30 - Х/ф "Настоящая любовь".
01:30 - "Следствие ведут экстрасенсы".
02:25 - Ночной эфир.
-
Футбол 1
01:10 - Леванте - Реал Сосьедад. Чемпионат Испании.
03:00 - Мир Премьер-лиги.
03:30 - Кристал Пэлас - Саутгемптон. Чемпионат Англии.
-
ICTV
00:10 - Комик на миллион.
02:00 - Т/с "Молодой Волкодав", 10-12 с.
04:15 - Анекдоты по-украински.
04:40 - Факты.
Кинопремьера HD
00:05 - Х/ф "Танцы насмерть".
01:45 - Х/ф "Кэрол".
03:40 - Х/ф "Дед Мороз. Битва магов".
-
Вся телепрограмма

Мы в Вконтакте

Мы в Facebook

Голосование

Какой провайдер спутникового ТВ вы смотрите?

НТВ Плюс
Радуга ТВ
Виасат Украина
Xtra TV
Триколор ТВ
Континент ТВ
Телекарта
Рикор ТВ
Взрослый
Все понемногу

Случайное фото

Sat-integral club

подключение второго ресивера

 Цитата: alex0012 от Вчера в 19:28:48Спасибо всем кто посоветовал!  С твин головой все ...

подключение второго ресивера

Спасибо всем кто посоветовал!  С твин головой все понятно и просто, однако тарелка висит на ...

Список каналов для Sat-Integral S-1223 HD Rocket

Rivne 1  12348 H 30000 3/4, DVB-S2/MPEG-BISS        [HIDE]10 10 ...

Автообновление ключей PowerVU

Цитата: Олего от Вчера в 15:09:18Вопрос к знающим: на Satintegral 1225 залито ПО 2.20, каналы ...

Автообновление ключей PowerVU

Вопрос к знающим: на Satintegral 1225 залито ПО 2.20, каналы (Дискавери, Анимал...) с ключами ...

mysqltuner и mytop на Centos 6.8

Оптимизация ...