Jump to content
  • 0

Атакуват ми Микротика

nikisv

Запитване от nikisv,

 Сподели

Въпрос

nikisv Новобранец

nikisv

Публикувано
Публикувано

Здравейте,наскоро си купих рутер Микротик  и реших да си  поиграя с него .Настроих PPTP и L2TP/IPsec VPN  по инструкции от нета .Клиента е Windows 10  ,сменя се аипито  но не виждам отдалечената мрежа .Активирах и Proxy ARP  на  Микротика . До тук добре но доставчика ми взе да  спира интернета и каза че ми атакуват рутера  и им претоварвам мрежата . Моля за помощ къде бъркам ,

 

Адрес на коментара
Сподели в други сайтове

12 отговори на този въпрос

Recommended Posts

  • 1
  • Администратор
111111 Изгряваща звезда

111111

Отговорено
  • Администратор
Отговорено 
/interface list member add list=LAN interface=bridge comment="defconf"
/interface list member add list=WAN interface=ether1 comment="defconf"
/ip firewall nat add chain=srcnat out-interface-list=WAN ipsec-policy=out,none action=masquerade comment="defconf: masquerade"
/ip firewall {
   filter add chain=input action=accept connection-state=established,related,untracked comment="defconf: accept established,related,untracked"
   filter add chain=input action=drop connection-state=invalid comment="defconf: drop invalid"
   filter add chain=input action=accept protocol=icmp comment="defconf: accept ICMP"
   filter add chain=input action=accept dst-address=127.0.0.1 comment="defconf: accept to local loopback (for CAPsMAN)"
   filter add chain=input action=drop in-interface-list=!LAN comment="defconf: drop all not coming from LAN"
   filter add chain=forward action=accept ipsec-policy=in,ipsec comment="defconf: accept in ipsec policy"
   filter add chain=forward action=accept ipsec-policy=out,ipsec comment="defconf: accept out ipsec policy"
   filter add chain=forward action=fasttrack-connection connection-state=established,related comment="defconf: fasttrack"
   filter add chain=forward action=accept connection-state=established,related,untracked comment="defconf: accept established,related, untracked"
   filter add chain=forward action=drop connection-state=invalid comment="defconf: drop invalid"
   filter add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface-list=WAN comment="defconf: drop all from WAN not DSTNATed"
   }

 

Харесай поста ^^^
acer.gif htc.gifsigpic4024_2.gif

Форумът е за взаимопомощ а не за свършване на чужда работа

ɹɐǝɥ uɐɔ noʎ ǝɹoɯ ǝɥʇ 'ǝɯoɔǝq noʎ ɹǝʇǝınb ǝɥʇ

Адрес на коментара
Сподели в други сайтове
  • 1
  • Администратор
Самуил Арсов Community Regular

Самуил Арсов

Отговорено
  • Администратор
Отговорено

1. За да решиш един проблем трябва да намериш источника му. В случая се гледат (трафик, пакети, лог) Ако доставчика ти е спрял нета, сега няма как да ги провериш, можем само да гадаем.

2. Proxy ARP е повече от странно за какво ти е, освен да раздаваш адреси в мрежата на доставчика и да си го ядосал за да ти спре нета, друго обяснение нямам.

3. Защитната стена в МикроТик си е iptables която с активиран Proxy ARP веригата INPUT става безмислена, а ако няма Proxy ARP работи линейно от горе надолу - тоест възходящите правила са разрешителните и последното забрана за всичко освен гореизброените (Това не е задължително - просто е добра практика)

4. Ако наистина искаш някаква помощ в този форум е хубаво да бъдеш по подробен като на първи време можеш да покажеш правилата си в защитната си стена с тази команда: ip firewall filter export compact

Ако го копираш в тага <> code ще изглежда така: 

[admin@R2] > ip firewall filter export compact 
# jul/16/2020 22:56:39 by RouterOS 6.47
# software id = 9URM-Y1QB
#
# model = CCR1036-12G-4S
# serial number = 529A04D1C62A
/ip firewall filter
add action=accept chain=input connection-state=established,related
add action=drop chain=input connection-state=invalid
add action=accept chain=input protocol=gre
add action=accept chain=input icmp-options=8:0 protocol=icmp
add action=drop chain=input src-address-list=!accept_input
add action=drop chain=forward connection-state=invalid
add action=add-src-to-address-list address-list=spammer address-list-timeout=\
    1d chain=forward connection-limit=30,32 dst-port=25 protocol=tcp
add action=drop chain=forward dst-port=25 protocol=tcp src-address-list=\
    spammer
add action=accept chain=forward dst-address-list=accept_forward
add action=accept chain=forward src-address-list=customers
add action=drop chain=forward src-address-list=netcontrol
add action=drop chain=output connection-state=invalid

За да може на нас да ни е прегледно какви всъщност правила имаш, защото не мога да не те питам тази снимка която си качил мислиш ли, че някой я разчита ?

  • Харесай 1

https://itservice-bg.net

Адрес на коментара
Сподели в други сайтове
  • 0
  • Администратор
111111 Изгряваща звезда

111111

Отговорено
  • Администратор
Отговорено

Основнипе правила на защитната стена има ли ги?

Харесай поста ^^^
acer.gif htc.gifsigpic4024_2.gif

Форумът е за взаимопомощ а не за свършване на чужда работа

ɹɐǝɥ uɐɔ noʎ ǝɹoɯ ǝɥʇ 'ǝɯoɔǝq noʎ ɹǝʇǝınb ǝɥʇ

Адрес на коментара
Сподели в други сайтове
  • 0
nikisv
Новобранец

nikisv

Отговорено
  • Автор
Отговорено (Редактирано)

При pptp конфигурацията е от бързите настройки на Микротик .8 правила общо като завършва на drop  input .При L2TP/IPsec  правилата на стената са 10  ,2 правила след drop -тях ги добавих ръчно със команди по описание на статия от нета.

/ip firewall filter
add chain=input action=accept protocol=udp port=1701,500,4500
add chain=input action=accept protocol=ipsec-esp

viber_изображение_2020-07-16_19-25-08.jpg

Редактирано от nikisv
Адрес на коментара
Сподели в други сайтове
  • 0
nikisv
Новобранец

nikisv

Отговорено
  • Автор
Отговорено 
/ip firewall filter
add action=accept chain=input protocol=icmp
add action=accept chain=input connection-state=established
add action=accept chain=input connection-state=related
add action=accept chain=input comment="allow IPsec NAT" dst-port=4500 protocol=\
    udp
add action=accept chain=input comment="allow IKE" dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow pptp" dst-port=1723 protocol=tcp
add action=accept chain=input comment="allow sstp" dst-port=443 protocol=tcp
add action=drop chain=input in-interface-list=!LAN
add action=accept chain=input port=1701,500,4500 protocol=udp
add action=accept chain=input protocol=ipsec-esp
[admin@Mikro

Първото спиране беше с тези настройки. Но и аз предполагам че съм ги ядосал с нещо .

Сега ще направя настройките  дадени от админа.

P.S. Извинявам се за неточните въпроси но и аз не съм много наясно с материята въпреки че прочетох книгата за РУТЕР ОС .Но човек се учи докато е жив .Благодаря на всички за отделеното време .И ще продължавам да питам да знаете.

Адрес на коментара
Сподели в други сайтове
  • 0
nikisv
Новобранец

nikisv

Отговорено
  • Автор
Отговорено

 

И новите настройки но пак не виждам споделените файлове само сменя ип.

  

/ip firewall filter
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=accept chain=input comment=\
    "defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1
add action=accept chain=input comment="allow IPsec NAT" dst-port=4500 protocol=\
    udp
add action=accept chain=input comment="allow IKE" dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow pptp" dst-port=1723 protocol=tcp
add action=accept chain=input comment="allow sstp" dst-port=443 protocol=tcp
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
    in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=\
    invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" \
    connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
[admin@MikroTik] >
pptp
  enabled: yes
            max-mtu: 1450
            max-mru: 1450
               mrru: disabled
     authentication: mschap1,mschap2
  keepalive-timeout: 30
    default-profile: default-encryption
    
    
Flags: X - disabled, R - running, S - slave
 #    NAME               MTU MAC-ADDRESS       ARP             SWITCH            
 0 R  ether1            1500 C               enabled         switch1           
 1 RS ether2            1500 C               enabled         switch1           
 2 RS ether3            1500 C               enabled         switch1           
 3  S ether4            1500 C               enabled         switch1           
 4  S ether5            1500 C               enabled         switch1   

 

Адрес на коментара
Сподели в други сайтове
  • 0
  • Администратор
111111 Изгряваща звезда

111111

Отговорено
  • Администратор
Отговорено

Форматирай си постовете за в бъдеще.

Шера по ип или по име си го търсиш?

Какви са локалните и отдалечени адреси?

Харесай поста ^^^
acer.gif htc.gifsigpic4024_2.gif

Форумът е за взаимопомощ а не за свършване на чужда работа

ɹɐǝɥ uɐɔ noʎ ǝɹoɯ ǝɥʇ 'ǝɯoɔǝq noʎ ɹǝʇǝınb ǝɥʇ

Адрес на коментара
Сподели в други сайтове
  • 0
walkingcurs3 Новобранец

walkingcurs3

Отговорено
Отговорено
On 7/17/2020 at 9:48 PM, nikisv said:

Благодаря на всички . Получи се !

Как виждаш споделените папки през VPN като не е активирано proxy-arp ?

Адрес на коментара
Сподели в други сайтове

Създайте нов акаунт или се впишете, за да коментирате

За да коментирате, трябва да имате регистрация

Създайте акаунт

Присъединете се към нашата общност. Регистрацията става бързо!

Регистрация на нов акаунт

Вход

Имате акаунт? Впишете се оттук.

Вписване
 Сподели
Go to question listing

  • Потребители разглеждащи страницата   0 потребители

    • No registered users viewing this page.
×
×
  • Създай нов...

Important Information

By using this site, you agree to our Terms of Use.

  I accept