Mikrotik

Т.е. загружал один файлик, а при импорте микрот увидел 2, и с обоими ничего не получается но об это далее..

Затем создаю новый интерфейс, такой:

Параметры, которые я перебирал по всякому и проебал 1 день жизни, в клиенте выглядят следующим образом:

Вообще не уверен что в поле User надо вписывать тупо имя клиента, но оставить поле пустым не даёт. Так вот помните про два файлика? Теперь их можно выбрать в поле Certificate, но как уже говорил нихуя путного не выходит ни с того ни с другого.

Привило в Firewall выглядит вот так:

И наконец, при попытке коннекта, тот самый бесконечный фейл на выходе который я уже устал наблюдать:

Из того что понимаю, могу предположить, что серверу не хватает каких то данных для аутентификации, возможно в настройках сервера надо что то включить, а возможно как то по человечески выпустить сертификат с логином и паролем как того требует форма в микроте.

Есть клиенты OpenVPN под Windows и iOS, они успешно принимают этот сертификат и всё довольно весело работает, коннекты коннектятся, впны впнятся, что было нельзя становится льзя. Но мне нужно именно на роутере. Именно на микроте.

Если хотите что то посоветовать сделать на сервере, очень прошу, пожалуйста, пишите команды))

Для понимания того, кто у вас просит помощи - человек который познакомился с VDSами, убунтами, SSH и т.д. ровно три дня назад))).

Буду очень благодарен за любую инфу, ссылки, подсказки.

При этом он(запасной) запрашивает разрешения на запуск алгоритмов у основного Bootlouder’a, как раз в котором и записывается активация команды Protected bootloader (защита от физического взлома) от RouterOS.

Если команда не активирована, то выполнение алгоритмов продолжается в штатном режиме, в противном случае устанавливается время удержания кнопки RESET, для сетевой установки (NetInstaller)

Есть вариант попробовать перепрошить NAND, но в таком случае велик шанс получить временную лицензию на 24 часа, из-за слета серийника в routerboard, при котором роутер сбрасывает настройки по истечении этого времени. После этого последуют долгие разбирательства с техподдержкой на тему отправки прошивки именно для вашего микрота, в которой будет вшит серийник. С обращениями на оборудование, которое стоит менее 100$ они не охотно общаются + нужно отправить log’и видео перепрививкb. Поэтому этот метод отпал. Ссылку на топик уже не найду.

Изучив инструкцию https://help.mikrotik.com/docs/display/ROS/RouterBOARD

я понял, что минимально-максимальное значение удержания кнопки RESET 300 сек, а максимально-минимальное значение 15 сек. Итого у нас есть значения от 15 до 300сек с шагом 1 сек. Рекомендации производителя выставлять разницу от 5сек, но наш злоумышленник не такой, он по любому выставил разницу 1 сек.

В итоге от 15 до 300, сумма арифметической прогрессии получилась 45045 сек, в минутах примерно 750, в часах 12,5)). Многовато, подумал я, поэтому решил, думать логически… Злоумышленник, который решил поднасрать, не стал бы устанавливать небольшое значение, поэтому я пошел с максимально-минимального значения 300сек(+3 сек на задержку при включении модуля). Вы, же, можете пойти от 144 вверх или от 216 вверх-низ по 1 сек. У меня микрот откликнулся на 236 сек, другой на 220 сек.

Практика:

Для восстановления понадобится Таймер задержки JZ-801, обозначение на плате HCW-M421

NO и COM припаиваем к кнопке RESET, контакты RESET на плате не подходят(bootlouder не реагирует).

Далее контакт Trigger(поддерживает 3-24V) подпаиваем к положительной линии на плате, для того, чтоб не сжечь плату управления, я использовал линию 3.3V.

GND_T к любой земле на плате.

Запускаем ПО NETinstaller, по идеи подойдет любая версия. С сайта микротик качаем прошивку и распаковываем (раздел MIPSBE вариант EXTRA в моем случае RB951ui-2HnD(RB-9xx)). Инструкция выбора прошивки(платформы) для платы:

Настройки сетевой карты ПК и NETinstaller

По инструкции из инета, для реле, выставляем программу P1.1 параметр OP выставляем опытным путем, я начинал от 315 сек(причины указал выше, перестраховался на первый раз, поэтому не 303, а 315) и шел на уменьшение, у меня микрот откликнулся на 236 сек, другой на 220 сек.

Алгоритм:

1 зажимаем и держим кнопку SET на экране появляется инфо о выбранной программе(P1.1)

2 Короткое нажатие SET переключит на параметр OP

3 зажимаем SET для входа в настройку параметра OP

4 Кнопками UP, DOWN выбираем количество сек

5 Зажимаем SET для сохранения

6 подключаем питание mikrotik, на плате загорится красный диод

7 ждем…

8 если не угадали отключаем питание mikrotikа и повторяем с 1-го пункта

Мне понадобилось повторить данные действия 79 раз ))  Посмотрел несколько фильмов, поиграл с ребенком в карты…

Если попал в тайминг, то происходит кратковременный писк бипера(если на плате он присутствует), второй не должен последовать, индикация интерфейсов портов загореться не должна, при этом на сетевой карте ПК линк будет. Микрот появится в меню NETinstaller, далее прошиваем роутер как в многочисленных инструкциях из инета или воспользуйся офф https://help.mikrotik.com/docs/display/ROS/Netinstall .

В нашем мире альтруисты долго не живут (нужно окупить покупку микросхем), поэтому буду рад копеечке(100) на карту, если эта статься была для Вас полезной)  4246 16@9 4853 @564 s.b.e.r.

Не откладывай благодарность….

В комментах пиши на какой секунде сработало у тебя – нужна статистика, чтоб другим было легче!!!

Коротко описание:

• скрипт обращается к сформированному специальным образом списку подсетей ютуба и скачивает его сохраняя в корень устройства под названием YouTube_IPv4_CIDR.rsc. Данный список обновляется раз в сутки в 0:00 GMT+3

• далее идет задержка 5 секунд для тех у кого небыстрый интернет, высокий пинг или слабенький роутер. Можно убрать.

• далее в лог выводится информация о том, что список успешно скачан.

• затем из адресного листа удаляются все записи в комментарии которых содержится слово YouTube (сохраните или переделайте комментарий если у вас уже есть записи с таким комментарием и они вам нужны)

• следующим шагом микротик запускает скачанный скрипт, который в свою очередь добавляет новые адреса в адресный лист с названием YouTube (записи будут иметь комментарий YouTube)

• в заключении скрипт выводит информацию о том, что новый адресный лист успешно создан.

  2. Добавляем запуск скрипта в планировщик (System – Scheduler)

Название задачи можно ввести любое. В Start Day и Start Time указываем нужные вам значения, интервал повтора 1 день. Чаще не имеет смысла так как список обновляется раз в сутки. В поле On Event вводим название скрипта из предыдущего пункта настройки:

YouTube_IPv4_CIDR_update

Теперь микротик каждый день в указанное время (в нашем случае в 0 часов 5 минут) будет запускать скрипт удаления и создания адресного листа с названием YouTube, у которого в комментарии к адресам так же содержится слово YouTube. Если такого адресного листа у вас изначально нет, микротик его создаст сам.

Собственно, на этом всё. Всё примитивно, без условий и без проверок на скачиваемость и прочее. Для своих нужд я использую только IPv4 адреса, если кому-то нужно, здесь ссылки на остальное:

IPv4 адреса: https://github.com/touhidurrr/iplist-youtube/blob/main/ipv4_list.txt
IPv4 CIDR: https://github.com/touhidurrr/iplist-youtube/blob/main/cidr4.txt
IPv6 адреса: https://github.com/touhidurrr/iplist-youtube/blob/main/ipv6_list.txt
IPv6 CIDR: https://github.com/touhidurrr/iplist-youtube/blob/main/cidr6.txt

Для желающих генерировать эти списки своими силами есть скрипт в репо https://github.com/touhidurrr/iplist-youtube

Естественно таким образом можно составлять не только списки адресов YouTube.

Ну и для тех кто хочет сам парсить вышеперечисленные списки приведу пример скрипта которым пользуюсь сам:

#!/bin/sh
saveTo=/var/www/yoursite.ru/html
now=$(date);
echo "# Generated by easyme@pikabu on $now" > $saveTo/YouTube_IPv4_CIDR.rsc
echo "/ip firewall address-list" >> $saveTo/YouTube_IPv4_CIDR.rsc
wget -q -O - https://raw.githubusercontent.com/touhidurrr/iplist-youtube/... | awk --posix '/[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\// { print "add list=YouTube address=" $1 " comment=YouTube";}' >> $saveTo/YouTube_IPv4_CIDR.rsc

Полученный файл я пушу в гит раз в сутки, вы можете расположить его где-нибудь в web или на ftp. Как забрать файл из других источников можно почитать в справке к команде fetch в вики микротик.

На этом всё. Как маркировать трафик, пустить в нужное русло или заблокировать трафик направленный в сторону серверов из адресного листа можно почитать на просторах чебурнета.

Успехов!

/ip firewall address-list
add list=ddos-attackers
add list=ddos-targets
/ip firewall filter
add chain=forward connection-state=new action=jump jump-target=detect-ddos
add action=return chain=detect-ddos dst-limit=32,32,src-and-dst-addresses/10s
add action=add-dst-to-address-list address-list=ddos-targets address-list-timeout=10m chain=detect-ddos
add action=add-src-to-address-list address-list=ddos-attackers address-list-timeout=10m chain=detect-ddos
/ip firewall raw
add action=drop chain=prerouting dst-address-list=ddos-targets src-address-list=ddos-attackers

Вкратце, что оно тут делает: создает 2 списка, в которые потом попадают адреса злоумышленника и жертвы(кто такая жертва-ниже), создаем и отправляем в цепочку обработки detect-ddos (я и не знал, что можно создавать свои цепочки,оказывается, да не представлял зачем) новые соединения с нашим микротом, там мы определяем условия для действий над этим соединением/пакетом, возвращаемся из нее и далее пакеты идут куда там дальше в workflow определено. Тут же добавляем действия, которые мы будем делать, если условие в action=return сработало, в нашем случае добавляем адреса получателя и отправителя в соответствующие списки. У нас в примере указано, что если будет больше 32 пакетов новых соединений в секунду за 10 секунд, то занесем адресочки в списки айайай. Вот тут как раз возникает вопрос: а если мы хотим отслеживать что-то еще, кроме параметра dst-limit, например connection limit, и вот тогда правило будет срабатывать при соблюдении обоих условий, или хотя бы одного? В документации ответ на этот вопрос мне как-то не попался на глаза, может аудитория подскажет. Кстати, в обработке action=jump, рекомендую задать список доверенных адресов в Src.addr.list и поставить на него "!", чтобы эти адреса не попали в список злодеев, а то мало ли, сами себя забаните на микроте, а это никому не нужно. Об этом почему то в мане скромно умолчали, а об этот камень можно больно ударится. Но вернемся к основным действиям. Наши правила успешно создают списки, а уже они обрабатываются в правиле /ip firewall raw, в котором написано следующее: будем отбрасывать все пакеты, адреса которых содержатся в списках ddos-attackers И ddos-targets. Казалось бы, тут все понятно, однако есть нюанс, о котором опять умолчали: если у вас есть правило NAT, перенаправляющее порт 443 на внутренний сервер с адресом 192.168.168.10, то случится.. ничего, защита выше работать не будет и весь траф на наш бедный веб-сервер будет так же литься полноводным потоком . А почему? А потому что мы добавляем адрес жертвы в цепочке forward, а там маячит наш внешний IP, а никак не внутренний адресок сервера.
Так что либо вписывать адреса серверов за NAT ручками в список ddos-targets, либо правило втыкать в другое место цепочки обработки. Но и это еще не всё. Допустим мы где то у какого то клиента завели рассылку почты с нашего сервера, находящегося за нашем же микротом и который внезапно захотел разослать 10 писем одновременно. И что? А то что адресок клиента успешно попадет в список забаненых, т.к. по количеству одновременных коннектов успешно попадает в наш фильтр. Так что придется ставить фильтры со своими параметрами чуть ли не на каждый сервис, который есть за нашим микротом. Вот такие дела.. а казалось бы, что всё просто.