Сейчас просматривают тему: 0 -> --, и гостей: 1

Защита роутера Mikrotik от брутфорса VPN туннеля

Ссылка на пост #1 Добавлено: 5 октября 2015 12:27
Автор темы  
Полное имя: Макс
Группа: Администраторы
Азъ: библиАтекарь
Возраст: 34 Водолей
Пол:
С нами: 9 лет 3 месяцa
Сообщений: 6537
Поблагодарил: 5590
Благодарностей: 20980
Предупреждений: 0

Награды:

      

Иногда нужно защитить свой роутер от брутфорса VPN туннеля. Если с SSH это решается защитой от брутфорса по новым соединениям то с L2TP это не подойдет, так как обмен сообщениями идет в рамках одной сессии. И с точки зрения роутера устанавливается только одно соединение (после неправильного пароля связь не обрывается).
Тут нам на помощь придет небольшое знание структуры пакетов.

Защита роутера Mikrotik от брутфорса VPN туннеля


Открываем поток, вскрываем пакет ответа о неправильном пароле и что же мы видим. Правильно – обычный текст о том что “нифига” не правильно. Ага, значит по этому мы и будем ловить

1м правилом режем коннекты кулхацкеров, после чего строим защиту.

Код:[Выделить]
/ip firewall filter add action=reject chain=input src-address-list=black


если action=drop то пакеты по тихому дропаются.
если action=reject (оно по дефолту будет отправлять сообщение icmp network unreachable) то комп атакующего будет получать сообщение что данная сеть недоступна. Разница в том что при drop отправитель ничего не будет знать о судьбе пакетов и будет продолжать их слать,
а при reject его устройство получит уведомление что сеть недоступна и возможно перестанет отправлять нам пакеты.
Но reject больше грузит процессор роуетра. Поэтому нужно в каждом отдельном случае решать, что будет лучше с точки зрения нагрузки на роутер

Код:[Выделить]
/ip firewall filter add action=add-dst-to-address-list address-list=black chain=output content=”M=bad” dst-address-list=level2 add action=add-dst-to-address-list address-list=level2 address-list-timeout=1m chain=output content=”M=bad” dst-address-list=level1 add action=add-dst-to-address-list address-list=level1 address-list-timeout=1m chain=output content=”M=bad”


Логика простая – если юзер логонится и получает ответ о непрвильном пароле то его заносим в адрес-лист1 на одну минуту. Если в течении этой минуты он опять неверно логонится то на минуту заносим его в адрес-лист2. Если же будучи в адрес-листе2 он опять неверно логонится то ему прямой путь в адрес-лист запрещенных. Потом можно дропать все пакеты от адресов из адрес-листа запрещенных, это как вам будет нужно.
Количество уровней выберете сами, 2-3 самое оптимальное число. что бы и себя не забанить если случайно 2 раза ошиблись и не мучать роутер долгими брутфорсами “дятлов” из интернета

С ув.erazel

Мой телевизор: Samsung LE-32C550J1WXUA, Samsung UE55D6100, Samsung UE65°ES8007

Мой ресивер: Sat-Integral S-1210 HD Aron, Sat-Integral TH-7200 PVR I, iNeXT HD1, GI Vu+ Duo 2

Мои спутники: 4°W+4.8°E+9°E+13°E+36°E+75°E+85°E+90°E

Cказали Спасибо: 1 : zmej74
Реклама
Информация

Посетители, находящиеся в группе Гости, не могут оставлять сообщения в данной теме.

    XML error in File: https://blog.tricolor.tv/rss/

    XML error: at line 0

    Поздравляем с 23 февраля!

    Мы поздравляем вас с наступающим праздником – Днём защитников Отечества!

    Услуга Мультирум

    Больше никаких очередей у экрана и борьбы за пульт! Новая услуга «Мультирум» даёт возможность абонентам «Телекарты» подключить второй телевизор со всеми каналами, доступными на основном приёмнике. Всего за 1 рубль в месяц!

    Услуга Мультирум

    Больше никаких очередей у экрана и борьбы за пульт! Новая услуга «Мультирум» даёт возможность абонентам «Телекарты» подключить второй телевизор со всеми каналами, доступными на основном приёмнике. Всего за 1 рубль в месяц!

    Телекарта объявляет старт февральского розыгрыша для абонентов с услугой «Приоритет»

    «Приоритет» – это комплексная услуга для абонентов «Телекарты», предоставляющая своим пользователям право на эксклюзивное обслуживания, уникальные услуги и предложения.

    Телеканал «Мир увлечений» получил премию «Большая Цифра»

    Телеканал «Мир увлечений» получил премию «Большая Цифра» за программу «Сказки для неслышащего малыша».

Телепрограмма

СТБ
16:00 - "Всё будет хорошо!".
18:00 - "Викна-Новости".
18:30 - Т/с "Когда мы дома", 56-58 с.
20:00 - "МастерШеф. Дети", 2 сезон, 8 эп., 1 ч.
Футбол 1
16:00 - Байер - Атлетико Мадрид. Лига чемпионов. 1/8 финала.
17:50 - "Ночь Лиги чемпионов".
18:30 - Топ-матч.
18:45 -  Сент-Этьенн - Манчестер Юнайтед. Лига Европы. 1/16 финала. Прямая трансляция.
ICTV
16:50 - Скетч-шоу "На троих", 3 сезон.
17:50 - Т/с "Котовский", 6 с.
18:45 - Факты. Вечер.
19:25 - Чрезвычайные новости.
Кинопремьера HD
15:35 - Х/ф "Неизвестная".
17:25 - Х/ф "Молодость".
19:30 - Х/ф "Поезд в Пусан".
21:25 - Х/ф "Ночные стражи".
Вся телепрограмма

Мы в Вконтакте

Мы в Facebook

Голосование

Есть ли будущее у спутникового ТВ Украины с появлением DVB-T2?

Да
Нет
Затрудняюсь ответить

Случайное фото

Sat-integral club

Список каналов для Sat-Integral S-1223 HD Rocket

помогите чайнику никак не могу залить етот список каналов все время пишет ошибка,прошивка 3.51

Sat-Integral S-1227 HD Heavy Metal

У меня стоят две антенны, одна на три спутника (amos,astra, Hb), a вторая на 36 градус. Все спутник ...

ПО Sat-Integral S-1221 HD Stealth версии 3.44

А ГДЕ ЕГО СКАЧАТЬ , ИЗВИНИТЕ КОНЕЧНО ЗА ТАКОЙ ВОПРОС...И КАК ОТКАТИТСЯ НАЗАД..

ПО Sat-Integral S-1221 HDalth версии 3.44 Ste

Цитата: lymarvv3791 от Сегодня в 13:12:13Добрый день , а назад с ПО Sat-Integral S-1221 HDalth ...

ПО для ресивера Sat-Integral S-1212 HD Nero от 01.04.2015 версии 3.40

Цитата: Leha066 от Сегодня в 11:54:17Подскажите пожайлуста если я прошъюсь до версии 3.43 я смогу ...

Подмена провайдером DNS-запросов

Предыстория После ...

Установка MySQL 5.6 на Centos 6

Будем использовать ...