Проблем с микротик (хакване)

[Zhivko]

Здравейте,

От няколко седмици имам проблем с микротика, който ползвам. Появява се голям ъплоуд през различни части на денонощието. Ползвам PPPoE за връзка с интернет доставчика. Ъплоуд трафика върви единствено и само през PPPoE връзката и порта на микротика, на който е закачен кабела на доставчика. През bridge-local не се генерира трафик, което означава, че трафика не е иницииран от устройство в локалната мрежа. В момента, в който активирам drop във firewall и ъплоуда спира. Явно по някакъв начин ми хакват микротика или не знам какво става. Всички service портове са затворени с изключение на api, api-ssl, winbox, www,www-ssl. Забраних за тест www, но уви след известно време отново се генерира трафика. Проблемът е, че ако оставя drop-а постоянно пуснат не мога да достъпвам отдалечено микротика и IP телефона спира да работи, което е нормално. В лога нищо не се вижда като информация. Според вас какво мога да направя, за да огранича хакването и по този начин да спра ъплоуд трафика, който се генерира и по какъв начин мога да оставя drop, а да разреша само от определени ip-та да се осъществява връзка?

[JohnTRIVOLTA]

Виж с торч кой точно порт и към коя дестинация е трафика ? Споменатите от теб сървиси /  на api, api-ssl, winbox, www,www-ssl / трябва да ги спреш , ако не ги ползваш също! Ползвай WinBOX , Tik-App за Android за достъп до микротика, след като му промениш деф.порта разбира се ! Забрани всичко входящо на етернет порта на който е сетнат PPPoE връзката.

[master]

Aко имаш представа от кои мрежи ще го достъпваш ограничи всички останали. Усернейм а задължително го смени.

[byte]

Резни си 53ти порт, udp, in-interface=pppoe-то в input на firewall-a.

Edited July 23, 2017 by byte

[111111]

Колко елементарни са настройките по подразбиране

/ip firewall {
             filter add chain=input action=accept protocol=icmp comment="defconf: accept ICMP"
             filter add chain=input action=accept connection-state=established,related comment="defconf: accept established,related"
             filter add chain=input action=drop in-interface=ether1 comment="defconf: drop all from WAN"
             filter add chain=forward action=fasttrack-connection connection-state=established,related comment="defconf: fasttrack"
             filter add chain=forward action=accept connection-state=established,related comment="defconf: accept established,related"
             filter add chain=forward action=drop connection-state=invalid comment="defconf: drop invalid"
             filter add chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1 comment="defconf:  drop all from WAN not DSTNATed"
           }

заместваш ether1 с името на рррое интерфейса

[Велин]

Гаранция ДНС флудчета https://sheki.zlatograd.com/blog/how-to-drop-outside-dns-requests-on-mikrotik-router/

[JohnTRIVOLTA]

преди 17 минути, Велин написа:

Гаранция ДНС флудчета https://sheki.zlatograd.com/blog/how-to-drop-outside-dns-requests-on-mikrotik-router/

Нали коментирахме, че сега правилният начин е не през филтъра, а през RAW секцията т.е. :

/ip fi raw add action=drop chain=prerouting dst-port=53 in-interface=wan protocol=udp

[111111]

Ако веднъж се анонсираш че предлагаш после все те търсят.

Така че от самото начало блокаж на всичко отвън.