ma ljudi ne prestaju da pokusavaju da pogode pass za ulaz u mikrotik.Log mi sav crven od pokusaja.Kad bih znao kako da ih sprecim bilo bi dobro a sa adrese sa koje dolaze napadi se javlja takodje mikrotik i to sa gomilom usera.Ko hoce nek pogleda link http://82.114.71.182/graphs/ .Cak ima i nekog kfora?
Dosadise mi neki sa Kosova sa napadima
Zaključano
Zakačeno
Ako su napadi uvek sa istog IP, onda prsoto blokiraj taj IP. Verovatno je to neka mreza koja ima sam jednu javnu ip adresu i to fiksnu.
A mozes i da prijavis da koriste nelegalni Mikrotik.
A mozes i da prijavis da koriste nelegalni Mikrotik.
Napadaj i ti njih :D
salim se, zatvori jednostavno portove za prilazak tvom tiku preko WAN porta.
U ip/services stavi opsege IP adresa kojima dozvoljavas pristup odredjenom servisu. A pokusaj ulaska sa ostalih ce biti onemogucen i ignorisan.
salim se, zatvori jednostavno portove za prilazak tvom tiku preko WAN porta.
U ip/services stavi opsege IP adresa kojima dozvoljavas pristup odredjenom servisu. A pokusaj ulaska sa ostalih ce biti onemogucen i ignorisan.
To je normalno da se desava. Implementiraj neku BFD zaštitu.
Nadam se da ce ti ovo biti od pomoci.
Code:
16 ;;; drop ssh brute forcer
chain=input action=drop dst-port=22 protocol=tcp
src-address-list=ssh_blacklist
17 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp src-address-list=ssh_stage3
address-list=ssh_blacklist address-list-timeout=1w3d
18 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp src-address-list=ssh_stage2
address-list=ssh_stage3 address-list-timeout=1m
19 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp src-address-list=ssh_stage1
address-list=ssh_stage2 address-list-timeout=1m
20 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp address-list=ssh_stage1 address-list-timeout=1m
21 ;;; FTP BruteForce detection
chain=input action=drop dst-port=21 protocol=tcp
src-address-list=ftp_blacklist
22 chain=output action=accept protocol=tcp content=530 Login incorrect
dst-limit=1/1m,9,dst-address/1m
23 chain=output action=add-dst-to-address-list protocol=tcp
content=530 Login incorrect address-list=ftp_blacklist
address-list-timeout=3h
16 ;;; drop ssh brute forcer
chain=input action=drop dst-port=22 protocol=tcp
src-address-list=ssh_blacklist
17 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp src-address-list=ssh_stage3
address-list=ssh_blacklist address-list-timeout=1w3d
18 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp src-address-list=ssh_stage2
address-list=ssh_stage3 address-list-timeout=1m
19 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp src-address-list=ssh_stage1
address-list=ssh_stage2 address-list-timeout=1m
20 chain=input action=add-src-to-address-list connection-state=new
dst-port=22 protocol=tcp address-list=ssh_stage1 address-list-timeout=1m
21 ;;; FTP BruteForce detection
chain=input action=drop dst-port=21 protocol=tcp
src-address-list=ftp_blacklist
22 chain=output action=accept protocol=tcp content=530 Login incorrect
dst-limit=1/1m,9,dst-address/1m
23 chain=output action=add-dst-to-address-list protocol=tcp
content=530 Login incorrect address-list=ftp_blacklist
address-list-timeout=3h
Ja sam moj mikrotik zastitio tako sto sam "pomesao" porte.
ssh sam stavio na 25
telnet sam stavio na 27
ftp sam iskljucio (ukljucujem samo po potrebi)
http sam stavio na 82
ssh sam stavio na 25
telnet sam stavio na 27
ftp sam iskljucio (ukljucujem samo po potrebi)
http sam stavio na 82
Potpis
routing protocols enable routers to route routed protocols!
Jesi cuo ti za port scanner? :)
Narode, mozda je glupo pitanje ali mi nikako ne polazi za rukom da zaustavim SAV dolazni saobracaj... moze li neko da mi pomogne?
Pokusao sam da stavim da radi drop za sav input koji dolazi na wan interfejs ali u tom slucaju mi radi sav saobracaj ka Internetu sa lokalne mreze ali sa Mikrotika nije moguce obaviti bilo kakvu komunikaciju sa Internetom sto mi pravi problem buduci da se dns nalazi na Mikrotiku tako da nece da radi resolve.
Pokusao sam da stavim da radi drop za sav input koji dolazi na wan interfejs ali u tom slucaju mi radi sav saobracaj ka Internetu sa lokalne mreze ali sa Mikrotika nije moguce obaviti bilo kakvu komunikaciju sa Internetom sto mi pravi problem buduci da se dns nalazi na Mikrotiku tako da nece da radi resolve.
hvala svima na odgovorima.Jos kad bih i ja mogao njima da vratim, al malo zesce 
Eh..
Eh..
Trebas razmislit pod 1 o malo manjem eksponiranju javne ip adrese koja vodi do tika pa onda o zastitama pricat. Nema zastite ako te DDosa mijenjaj sebi javne ip-ove ako ih imas ako ne nek ti je bog na pomoci ne pomaze bas tu nesto posebno ako je neko dosadan ko rata kredita.
Citat:
Narode, mozda je glupo pitanje ali mi nikako ne polazi za rukom da zaustavim SAV dolazni saobracaj... moze li neko da mi pomogne?
Pokusao sam da stavim da radi drop za sav input koji dolazi na wan interfejs ali u tom slucaju mi radi sav saobracaj ka Internetu sa lokalne mreze ali sa Mikrotika nije moguce obaviti bilo kakvu komunikaciju sa Internetom sto mi pravi problem buduci da se dns nalazi na Mikrotiku tako da nece da radi resolve.
Pokusao sam da stavim da radi drop za sav input koji dolazi na wan interfejs ali u tom slucaju mi radi sav saobracaj ka Internetu sa lokalne mreze ali sa Mikrotika nije moguce obaviti bilo kakvu komunikaciju sa Internetom sto mi pravi problem buduci da se dns nalazi na Mikrotiku tako da nece da radi resolve.
chain=forward protocol=udp dst-port=53 action=accept
Citat:
hvala svima na odgovorima.Jos kad bih i ja mogao njima da vratim, al malo zesce Eh..
To su najvjerovatniej neki botovi ili spywerima/virusima zarazeni racunari, tako da od vracanje nemas neke fajde. Vec sam rekao da je to normalna pojava i da se to svakodnevno desava na svakom serveru, za to postoji BFD.
Citat:
roppe: chain=forward protocol=udp dst-port=53 action=accept
Obzirom da njemu mikrotik odradjue dns upite, trebalo bi valjda da bude chain input i jos jedno pravilo za output, a ne forward. A i trebalo bi isto to i za tcp port 53, jer se i on koristi za dns upite, doduse manje, ali ga ipak koriste neki programi.
Dakle:
chain=input protocol=udp dst-port=53 action=accept
chain=input protocol=tcp dst-port=53 action=accept
chain=output protocol=udp src-port=53 action=accept
chain=output protocol=tcp src-port=53 action=accept
Mada je mozda bolje pitanje zasto ograniciti sav input sa neta? Za tim nema potrebe ako se fino izfiltrira nepozeljan saobracaj, a svakako je korisno imati pusten input sa neta na tiku, na primer da mozes ko covek da pingujes kad radis neki troubleshouting, ili sta ti ja znam. Sve u svemu, moje misljenje je da treba izfiltrirati samo brute force, iskljuciti sve servise osim winboxa i ssh, i staviti dobru sifru. Eventualno dozvoliti pristup samo pojedinim ip adresama, i to po portovima 22 i 8291, za ssh i winbox, a ostale portove slobodno mozes da ostavis otvorene, ne znam sta bi mogao neko sa njima da napravi.
Potpis
U medjuvremenu sam malo cackao pa sam krenuo od ideje da se radi drop za svaki dolazni saobracaj po svim portovima. Jednu sitnicu sam zaboravio: da mu kazem po kom interfejsu :(
Tako da sada imam situaciju da mi Mikrotik blokira sav dolazni tcp saobracaj - sto ce reci: ne mogu da mu pridjem osim preko konzole (sto je u mom slucaju tesko izvodljivo). Hteo sam samo da se pohvalim kako sam pametan :) a ako neko ima ideju kako da resim ovo bilo bi mnogo lepo.
Elem, na greskama se uci a meni i dalje nije jasno sledece: Zasto je za upite dns-u neophodan dolazni saobracaj? Dakle, ja to kapiram kao odlazni saobracaj kada moj Mikrotik kontaktira neki dns napolju i uopste ne kapiram sta ce mu dolazni? Pa ako bi neko bio ljubazan da to malo pojasni...
Jok, nema potrebe. Niti ce ko da ga administrira spolja niti ce ko da gleda statistiku i sta ti ja znam sta jos.. Jedino mogu da otvorim ping da prolazi ali i to samo kada se radi neki troubleshoot. Zato bih ja to sve pozatvarao (sto sam i uradio ali sam malo preterao).
Tako da sada imam situaciju da mi Mikrotik blokira sav dolazni tcp saobracaj - sto ce reci: ne mogu da mu pridjem osim preko konzole (sto je u mom slucaju tesko izvodljivo). Hteo sam samo da se pohvalim kako sam pametan :) a ako neko ima ideju kako da resim ovo bilo bi mnogo lepo.
Elem, na greskama se uci a meni i dalje nije jasno sledece: Zasto je za upite dns-u neophodan dolazni saobracaj? Dakle, ja to kapiram kao odlazni saobracaj kada moj Mikrotik kontaktira neki dns napolju i uopste ne kapiram sta ce mu dolazni? Pa ako bi neko bio ljubazan da to malo pojasni...
Citat:
Mada je mozda bolje pitanje zasto ograniciti sav input sa neta? Za tim nema potrebe ako se fino izfiltrira nepozeljan saobracaj, a svakako je korisno imati pusten input sa neta na tiku, na primer da mozes ko covek da pingujes kad radis neki troubleshouting, ili sta ti ja znam.
Jok, nema potrebe. Niti ce ko da ga administrira spolja niti ce ko da gleda statistiku i sta ti ja znam sta jos.. Jedino mogu da otvorim ping da prolazi ali i to samo kada se radi neki troubleshoot. Zato bih ja to sve pozatvarao (sto sam i uradio ali sam malo preterao).
Guglao sam malo i nasao resenje koje bi trebalo da radi (bar zvuci logicno) a zove se "MAC telnet". Valjda ako radim mac telnet to ne ide preko tcp-a pa bi onda Mikrotik takav saobracaj trebao da pusti.
Probam kad dodjem kuci pa javim da li je uspelo.
Probam kad dodjem kuci pa javim da li je uspelo.
Uspeo. Mac telnet je prosao bez problema :)
Nego, da li bi neko mogao da mi pomogne oko mog prvobitnog problema? Dakle, kako da zaustavim sve sto dolazi sa Interneta a da mi dns radi bez problema?
Nego, da li bi neko mogao da mi pomogne oko mog prvobitnog problema? Dakle, kako da zaustavim sve sto dolazi sa Interneta a da mi dns radi bez problema?
Pa treba ti da dozvolis dns input jer tebi odgovor od dns servera dolazi u mikrotik kao input s interneta. Ovo ce zatvoriti sve osim dns upita:
Inace bi trebalo i ping odobriti, jer neces ni sa mikrotika moci da pingujes nista na netu jer nece moci da ti dodje ping reply. Ukoliko zelis da pustis i ping input, onda pre drop pravila dodas:
Code:
chain=input in-interface=Internet protocol=udp dst-port=53 action=accept
chain=input in-interface=Internet protocol=tcp dst-port=53 action=accept
chain=input in-interface=Internet action=drop
chain=input in-interface=Internet protocol=udp dst-port=53 action=accept
chain=input in-interface=Internet protocol=tcp dst-port=53 action=accept
chain=input in-interface=Internet action=drop
Inace bi trebalo i ping odobriti, jer neces ni sa mikrotika moci da pingujes nista na netu jer nece moci da ti dodje ping reply. Ukoliko zelis da pustis i ping input, onda pre drop pravila dodas:
Code:
chain=input in-interface=Internet protocol=icmp action=accept
chain=input in-interface=Internet protocol=icmp action=accept
Potpis
U medjuvremenu sam nasao, bar po meni, elegantnije resenje.
Ovo nije dobro jer udaljeni dns ne vraca pakete na moj port 53. On komunicira sa svog porta 53 na onaj port sa kog mu je dosla komunikacija. Znaci umesto dst-port treba staviti src-port.
To se resava tako sto se zaustavi sav input sa Internet interfejsa a dozvoli se sav input koji ima connection-state: established.
Citat:
BlackBomber:
Code:
chain=input in-interface=Internet protocol=udp dst-port=53 action=accept
chain=input in-interface=Internet protocol=tcp dst-port=53 action=accept
chain=input in-interface=Internet action=drop
chain=input in-interface=Internet protocol=udp dst-port=53 action=accept
chain=input in-interface=Internet protocol=tcp dst-port=53 action=accept
chain=input in-interface=Internet action=drop
Ovo nije dobro jer udaljeni dns ne vraca pakete na moj port 53. On komunicira sa svog porta 53 na onaj port sa kog mu je dosla komunikacija. Znaci umesto dst-port treba staviti src-port.
Citat:
Inace bi trebalo i ping odobriti, jer neces ni sa mikrotika moci da pingujes nista na netu jer nece moci da ti dodje ping reply. Ukoliko zelis da pustis i ping input, onda pre drop pravila dodas:
Code:
chain=input in-interface=Internet protocol=icmp action=accept
chain=input in-interface=Internet protocol=icmp action=accept
To se resava tako sto se zaustavi sav input sa Internet interfejsa a dozvoli se sav input koji ima connection-state: established.
Mozda bi trebalo prvo procitati kako DNS radi,
tj konkretno vezano za portove (upit, odgovor na upit)
http://library.mobrien.com/Manuals/MPRM_Group/dns_notes.html
tj konkretno vezano za portove (upit, odgovor na upit)
Code:
Prot Src Dst Use
udp 53 53 Queries between servers (eg, recursive queries)
Replies to above
tcp 53 53 Queries with long replies between servers, zone
transfers Replies to above
udp>1023 53 Client queries (sendmail, nslookup, etc ...)
udp 53> 1023 Replies to above
tcp>1023 53 Client queries with long replies
tcp 53 >1023 Replies to above
Prot Src Dst Use
udp 53 53 Queries between servers (eg, recursive queries)
Replies to above
tcp 53 53 Queries with long replies between servers, zone
transfers Replies to above
udp>1023 53 Client queries (sendmail, nslookup, etc ...)
udp 53> 1023 Replies to above
tcp>1023 53 Client queries with long replies
tcp 53 >1023 Replies to above
http://library.mobrien.com/Manuals/MPRM_Group/dns_notes.html
Potpis
Volim da se vozim grackim autobusom.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.
Gracki autobus jede sitne pare,
gracki autobus zna kad treba stane.
@Informer
Da, u pravu si, pogresio sam u brzini, treba src-port kad server salje odgovor.
@acatheking
Nije bas tako. Kod komunikacije dns servera sa klijentom, port na klijent srani nije uvek 1023, vec neki slucajno izabrani slobodni port, zavisno od operativnog sistema.
Da, u pravu si, pogresio sam u brzini, treba src-port kad server salje odgovor.
@acatheking
Nije bas tako. Kod komunikacije dns servera sa klijentom, port na klijent srani nije uvek 1023, vec neki slucajno izabrani slobodni port, zavisno od operativnog sistema.