IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja

IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 19.04.2010. u 16:34 · pre 201 mesec #1

Postovanje,

Procitao sam dosta postova i manuala na ovu temu, medjutim volio bi da nama pocetnicima iskusnije kolege daju najbolja rjesenja, savjete i primjere za pomenuti naslov. kako da najbolje iskonfigurisemo mikrotik-a u ovom segmentu.naravno posto je rijec o pocetnicima dobro bi dosli i primjeri. mozda je opsirno za pisanje al vjerujem da ce mnogima pomoci da rijese svoje probleme.
Mislim da ovo nije tema samo za nas pocetnike nego i za iskusnije da razmjene misljenja i iskustva.

poz i hvala

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 19.04.2010. u 21:26 · pre 201 mesec #2

Za razlicite mrezne infrastrukture su razlicita podesavanja, ali recimo da MT koristimo za izlaz na net, ja prvo sto uradim je zatvorim portove sa vana za neke od dobro poznatih virusa.Listu sam negdje pokupio i neke sam dodao...
Evo link

Potpis

Šaka

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 20.04.2010. u 01:56 · pre 201 mesec #3

Blokada port skenera

Code:
add action=add-src-to-address-list address-list=blocked-addr address-list-timeout=2w chain=\
    "port scanners" comment="Port scanners na listu" disabled=no protocol=tcp psd=21,3s,3,1
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=\
    "port scanners" comment="NMAP FIN Stealth scan" disabled=no protocol=tcp tcp-flags=\
    fin,!syn,!rst,!psh,!ack,!urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=\
    "port scanners" comment="SYN/FIN scan" disabled=no protocol=tcp tcp-flags=fin,syn
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=\
    "port scanners" comment="SYN/RST scan" disabled=no protocol=tcp tcp-flags=syn,rst
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=\
    "port scanners" comment="FIN/PSH/URG scan" disabled=no protocol=tcp tcp-flags=\
    fin,psh,urg,!syn,!rst,!ack
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=\
    "port scanners" comment="ALL/ALL scan" disabled=no protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg
add action=add-src-to-address-list address-list="port scanners" address-list-timeout=2w chain=\
    "port scanners" comment="NMAP NULL scan" disabled=no protocol=tcp tcp-flags=\
    !fin,!syn,!rst,!psh,!ack,!urg
add action=drop chain="port scanners" comment="Dropping port scanners" disabled=no src-address-list=\
    "port scanners"

ICMP flood zastita

Code:
add action=accept chain=icmp comment="0:0 and limit for 5pac/s" disabled=no icmp-options=0:0-255 limit=\
    5,5 protocol=icmp
add action=accept chain=icmp comment="3:3 and limit for 5pac/s" disabled=no icmp-options=3:3 limit=5,5 \
    protocol=icmp
add action=accept chain=icmp comment="3:4 and limit for 5pac/s" disabled=no icmp-options=3:4 limit=5,5 \
    protocol=icmp
add action=accept chain=icmp comment="8:0 and limit for 5pac/s" disabled=no icmp-options=8:0-255 limit=\
    5,5 protocol=icmp
add action=accept chain=icmp comment="11:0 and limit for 5pac/s" disabled=no icmp-options=11:0-255 \
    limit=5,5 protocol=icmp
add action=drop chain=icmp comment="Drop else ICMP" disabled=no protocol=icmp

Zastita od previse konekcija

Code:
add action=add-src-to-address-list address-list=blocked-addr address-list-timeout=1d chain=\
    "Connection limit" comment="Block to many connections" connection-limit=150,32 disabled=no \
    protocol=tcp
add action=tarpit chain="Connection limit" comment="" connection-limit=3,32 disabled=no protocol=tcp \
    src-address-list=blocked-addr

Zastita od SYN-flooda

Code:
add action=accept chain=SYN-protect comment=SYN-protect connection-state=new disabled=no limit=400,5 \
protocol=tcp tcp-flags=syn
add action=drop chain=SYN-protect comment=SYN-drop connection-state=new disabled=no protocol=tcp \
tcp-flags=syn

E sad ovo su ti sve lanci ( chain ) sad mozes da napravis recimo pravilo da ti sav INPUT ili FORWARD ( ja iskreno drzim i jedno i drugo ) ide JUMP na ove lance gore

primer:

Code:
add action=jump chain=forward comment="Forward na chain icmp" disabled=no jump-target=icmp

sav saobracaj koji ide na forward prvo ce biti proveren za pravila u lancu ICMP ( jump-target=icmp ) i svaki paket koji prodje proveru ide na forward ili ako imas vise jump pravila ide na sledecu proveru i sve tako dok ne prodje sve provere koje si mu zadao i tek onda odlazi na forward. Nadam se da te nisam zbunio. U principu izgleda tesko i komplikovano ali nije. Fora ti je da pravis ovako grupe pravila ( chain ) i da stavljas saobracaj da ide JUMP na njih.

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 20.04.2010. u 19:54 · pre 201 mesec #4

Što se tiče Layer 7, evo ti spisak pravila pa biraj:
http://l7-filter.sourceforge.net/protocols
Ne zaboravi da velika količina pravila i manglova pojačava CPU iskorišćenost što zna da utiče na protok, naročito na RouterBoard uređajima.

Potpis

A man is smart. People are stupid.

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 20.04.2010. u 23:38 · pre 201 mesec #5

Kada smo vec naceli temo Layer7 da li je neko mozda uspeo da ubije p2p :) ili na bilo koji drugi nacin a da nije totalni drop. Interesuju me dva specificna klijenta ( nano torent ili utorent kako ga neki zovu i mikrotorent )

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 22.04.2010. u 18:00 · pre 201 mesec #6

imam pitanje za dragansar i Phaseshifter

npr. ako imam glavni ruter i 5 baznih stanica, dal je potrebno sve ove filtere staviti na sve bazne stanice i ruter ili je dovoljno samo da stavim na ruter ili ima nesto sto mogu stavljati na sve a nesto samo na glavni ruter

hvala

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 22.04.2010. u 21:32 · pre 201 mesec #7

Access lista moze biti Standardna (samo bazirana na source adresi) i Extended (Bazirana na source, destination address, portu, protokolu)
Standardne se stavljasu sto blize onomo dijelu koga branis, a Extended mogu u raznim konbinacijama.Uglavnom ako branis mrezu od portova sa neta (koji su po tebi opasni) onda ACL stavis na prvi interfejs koji ide sa neta prema ostatku mreze. I ostale ACL-iste koje imaju svrhu zastite od WAN konekcija stavljas sto blize njima.Kada ih tu ruter odbije one dalje ne mogu u ostatak mreze.Tj ruter ce pregledati PDU na 3 layeru i sve sto ne smije proci se biti drop-ovano.Ako imas potrebu za gusenjem nepotrebnog saobracaja unutar mreze, onda shodno tome stavljas ACL-iste unutar same mreze.

Potpis

Šaka

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 22.04.2010. u 22:06 · pre 201 mesec #8

@dragansar

ovo txt sto si okacio... imam pitanje za ovo zadnje pravilo

add chain=forward action=jump jump-target=virus disable=no comment="AKTIVIRAJ CHAIN VIRUS"

jeli pogresno ako to stavim ispred cijele liste virusa ili bas mora ic na kraju?

Potpis

ROCK"n"Roll

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 22.04.2010. u 22:23 · pre 201 mesec #9

Ja mislim da mora zadnji biti.ACL-iste se kreiraju hronoloski od specificnih do globalnih zahtjeva, i tako se i izvrsavaju.A u toj liniji je napravljen novi Chain "Virus", i svi gore iznad su okrenuti prema njemu.Tako da je on zadnji.

Potpis

Šaka

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 22.04.2010. u 23:15 · pre 201 mesec #10

mozes li bacit oko na video http://tinypic.com/r/wupk74/5

imam tu 30 pravila prije virus chaina tvog sto si stavio, pa da kazes savjet sta da stavim ispred a sta iza nekog pravila

Potpis

ROCK"n"Roll

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 23.04.2010. u 09:09 · pre 201 mesec #11

Ono sto bi ja promijenio je da dozvole pomaknem gore pri vrhu, dropove dole ispod. I to sve redom od specificnih do globalnih.

Potpis

Šaka

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 23.04.2010. u 12:58 · pre 201 mesec #12

Citat:

dragansar: Ja mislim da mora zadnji biti.ACL-iste se kreiraju hronoloski od specificnih do globalnih zahtjeva, i tako se i izvrsavaju.

Ne mora da bude zadnji. Pošto je jump, skočiće gde treba.

Potpis

Two beer or not two beer...

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 23.04.2010. u 14:14 · pre 201 mesec #13

Da upravu si.

Potpis

Šaka

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 26.04.2010. u 14:47 · pre 201 mesec #14

U principu stavis da ti prvo dropuje specifican saobracaj znaci ono sto sigurno znas da oces da bude drop i time rasteretis ruter kolko toliko od nepotrebnog saobracaja, nakon toga stavis JUMP pravila ispod njih stavish chain-e na koje oces da idu ta jump pravila i na kraju ispod svega stavis da radi drop na sve ostalo sto ti nije zahvaceno pravilima, pazi samo da neodseces sam sebe pa da moras da resetujes ruter ili da se kacis preko serial porta.

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 01.05.2010. u 21:34 · pre 200 meseci #15

a sta mislite o ovom Dmitry on firewalling

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 02.05.2010. u 19:21 · pre 200 meseci #16

...fino da se nauci nesto o FW. Ali mislim da puno FW pravila moze prilicno da upropasti performanse rutera, pogotovo ako imas vise korisnika.

Re: IP Firewall (Filter rules, NAT, Mangle, Layer 7 Porotocol) podesavanja 02.05.2010. u 22:47 · pre 200 meseci #17

Koliko para toliko muzike.

Potpis

Šaka

Forum kao aplikacija na telefonu

Srodne teme