Mikrotik IPv4/IPv6 firewall

[deniSun]

Εγώ σαν κανόνα βάζω πρώτα τον έλεγχο για ddos και μετά για port scan.

[BillyVan]

Ετσι το εχω

Λες να αλλαξω καποια σειρα?

[deniSun]

Όπως σου είπα εγώ έχω πρώτα τα ddos και μετά το port scanner.
Επίσης... τα icmp δεν τα χρειάζεσαι.
Έχω αναφερθεί στο θέμα αυτό.
Είναι κατάλοιπο από παλιά.

[macro]

Μια χαρα χρειαζονται τα icmp για το fine tuning...........

[dalex]

Να ρωτησω κατι που συμβαινει τις τελευταιες μερες.

Πιανει αρκετα στο port scanner και τα βαζει σε λιστα.

Βλεπω ομως φοβερο πεσιμο απο μπλοκ 89.248.165.xxx και 163.xxx και ενω ειναι μπλοκαρισμενες οπως βλεπω απ το drop στο log χτυπαει κατι 10-15%

καπου καπου η cpu

Δεν θα επρεπε να μην ασχολειται καθολου αφου ειναι στη λιστα?

Ειναι νορμαλ?

89.248.165.0/24 = RECYBER PROJECT (UK - Netherlands), γνωστες κουφαλες, banned εδω και χρονο. Spam, port scans, ολα τα καλα.

Το 163. ειναι πολυ μεγαλο.. Αν εννοεις το 163.123.142.128/25 ειναι κι αυτοι spammers, banned.

[BillyVan]

89.248.165.0/24 = RECYBER PROJECT (UK - Netherlands), γνωστες κουφαλες, banned εδω και χρονο. Spam, port scans, ολα τα καλα.

Το 163. ειναι πολυ μεγαλο.. Αν εννοεις το 163.123.142.128/25 ειναι κι αυτοι spammers, banned.

Εννοοουσα το 89.248.163.xxx

[macro]

Και κατι αλλο σα συμπληρωμα, εχω την εντυπωση οτι πρωτα το port scanner σα κανονας ειναι πιο σωστο. Αν ειναι πρωτος, θα σου ριξει την ip πριν πρoλαβει να σου κανει ddos attack. Αν σου κανει ddos ομως θα σου floodarei αμεσως το ρουτερ και δε θα λειτουργει τιποτα απο ιντερνετ.

[deniSun]

Αν σου κανει ddos ομως θα σου floodarei αμεσως το ρουτερ και δε θα λειτουργει τιποτα απο ιντερνετ.

Γι αυτό θεωρώ ότι πρέπει να πάει πάνω από το port scan.

Σχετικά με το φιλτράρισμα των icmp έχω διαβάσει ότι με ενεργοποιημένο το TCP SynCookies είσαι οκ
και ότι οι νέοι πυρήνες προσφέρουν έτσι και αλλιώς προστασία για icmp.

[jkarabas]

Σχετικά με το φιλτράρισμα των icmp έχω διαβάσει ότι με ενεργοποιημένο το TCP SynCookies είσαι οκ

Τώρα που το ανέφερες ποιες είναι οι σωστές ρυθμίσεις στα ip settings του winbox?

- - - Updated - - -

Τώρα που το ψάχνω προτείνουν το TCP SynCookies να είναι enable.
Επίσης προτείνουν το RP filter να είναι στην επιλογή restrict.
Reccomandation: use strict mode to prevent ip spoofing from DDdoS attacks

[macro]

Δεν εχει να κανει αυτο που ειπα με την ασφαλεια αλλα με το fine tuning. Γιατι να δεχεσαι ή να περιμενεις ολο το πακετο και να μη χρησιμοποιεις αυτα που χρειαζονται μονο? Για παραδειγμα αν εχεις σε ενα echo bad parameter, γιατι να περιμενεις την αρνητικη απαντηση ας πουμε και να μη το απορριπτεις κατευθειαν? Αυτο ειναι ολο.

Οσων αφορα το strict mode που λεει ο jkarabas, καλυτερα να μη το εχεις enable. Δε θυμαμαι ποια ειναι αυτα, αλλα καποια πραγματα δε δουλευουν.

Deni.....Οσων αφορα τη σειρα των ddos - port scanners, εξηγησα γιατι πρεπει να μπαινει πρωτα το port scanner rule. Επειδη στην Ελλαδα εχουμε δυναμικες ips και καθολου κανονα ddos να μην εχεις, δε τρεχει καστανο γιατι με ενα ρεσταρτ στο μοντεμ σε χασανε.

[deniSun]

Τώρα που το ανέφερες ποιες είναι οι σωστές ρυθμίσεις στα ip settings του winbox?

Δεν υπάρχουν σωστά και λάθη.
Εξαρτάται το setup του καθενός.

Το RP filter θέλει προσοχή.

- - - Updated - - -

Εξ άλλου με το advanced fw που προτείνει η ΜΤ νομίζω ότι είσαι καλυμμένος για ip spoofing.

[jkarabas]

Tο TCP SynCookie το έχεις enable?

[deniSun]

Tο TCP SynCookie το έχεις enable?

Ναι.....

[unemployed_ghost]

Θα ήθελα λίγο βοήθεια με το VLAN isolation που υλοποιώ και αν είναι σωστοί οι κανόνες που έχω δηλώσει στο forward chain και η σειρά τους.

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related \
hw-offload=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=\
established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN


add action=accept chain=forward in-interface=bridge log=yes out-interface-list=WAN

add action=accept chain=forward in-interface=bridge-2 log=yes out-interface-list=\
WAN

add action=accept chain=forward in-interface=bridge-1 log=yes \
out-interface-list=WAN

add action=accept chain=forward in-interface=bridge-4 log=yes \
out-interface-list=WAN src-address=192.168.xx.xx

add action=accept chain=forward in-interface=bridge-3 log=yes \
out-interface-list=WAN

add action=accept chain=forward comment="VLAN 2 MACHINE Management Access" log=yes out-interface=bridge-2 \
src-address=192.168.xx.xxx

add action=drop chain=forward comment="VLAN Isolation" in-interface=bridge log=yes out-interface=!bridge
add action=drop chain=forward in-interface=bridge-1 log=yes out-interface=!bridge-1
add action=drop chain=forward in-interface=bridge-2 log=yes out-interface=!bridge-2
add action=drop chain=forward in-interface=bridge-3 log=yes out-interface=!bridge-3
add action=drop chain=forward in-interface=bridge-4 log=yes out-interface=!bridge-4
add action=drop chain=forward in-interface=zerotier1 log=yes out-interface=!zerotier1
add action=drop chain=forward in-interface=!bridge log=yes out-interface=bridge
add action=drop chain=forward in-interface=!bridge-1 log=yes out-interface=bridge-1
add action=drop chain=forward in-interface=!bridge-2 log=yes out-interface=bridge-2
add action=drop chain=forward in-interface=!bridge-3 log=yes out-interface=bridge-3
add action=drop chain=forward in-interface=!bridge-4 log=yes out-interface=bridge-4
add action=drop chain=forward in-interface=!zerotier1 log=yes out-interface=zerotier1

.... συνέχεια με άλλους κανόνες άσχετους με το ερώτημά μου....

add action=drop chain=forward comment="Drop Everything Else (Forward Chain)" log=yes


Όσον αφορά τους κανόνες που είναι με έντονο κείμενο τους έβαλα γιατί αλλιώς δεν είχα πρόσβαση στο internet σε κανένα bridge-vlan (μόνο εσωτερικά)

Πιστεύετε ότι είναι σωστοί οι κανόνες όπως τους έχω;
Μήπως θα έπρεπε τους πρώτους έντονους να τους κάνω π.χ.

add action=accept chain=forward in-interface=bridge log=yes out-interface-list=WAN connection-state=new

ή δεν παίζει ρόλο;

Σας ευχαριστώ

[deniSun]

Στην ουσία του λες ότι όλα τα bridgeX να μπορούν να βγαίνουν σε wan
αλλά να μην επικοινωνούν μεταξύ τους.

Πιστεύετε ότι είναι σωστοί οι κανόνες όπως τους έχω;

Από την στιγμή που σου δουλεύει είναι οκ.

Μήπως θα έπρεπε τους πρώτους έντονους να τους κάνω π.χ.

add action=accept chain=forward in-interface=bridge log=yes out-interface-list=WAN connection-state=new

ή δεν παίζει ρόλο;

Με το connection-state = new θα γλυτώσεις από περισσότερους ελέγχους.
Εξαρτάται φυσικά και από την κίνηση που έχεις.