Mikrotik

Добрый день, пикабуняне. Пост для индексации гуглом и помощи тем, кто столкнётся с проблемой.

Купил себе хаб умного дома Aqara m2 и столкнулся с проблемой подключения его в приложении. Телефон его видит, настройки wifi передаёт, но дальше дело не шло. Получал ошибку 10004 \ 10010. При подключении через Wifi dhcp адрес у роутера не получала, при подключении по проводу адрес ловила, но всё равно не работало подключение к телефону.

Смена региона, сброс хаба долгим нажатием (10 сек) и полный сброс ( 10 раз нажать кнопку) не помогал. Получал следующую ошибку.

Дома использую настройку Mikrotik BGP для обхода блокировок, а РКН блокирует подсетями. И, иногда, трафик конечного ip может попасть в подсеть блокировки и пойти через VPN.

(Либо вопрос к MTU т.к. на VPN стоит 1500, возможно у ростелекома другое значение.)

Так и случилось тут! Стоило вывести телефон и хаб через провайдера - подключение сработало моментально.

Сомневаюсь, что такая конфигурация популярна, но гугл почти ничего не выдавал по этой проблеме, решил отписаться.

Написал скрипт  который ищет в логах неудачные попытки авторизации вида: login faillure for user и добавляет адреса с которых эти попытки сделаны в address-list BlackList.
Получается банит ssh, https, http, winbox, dude и т.д.
Чтобы забанить эти адреса нужно в firewall добавить правило которое блочит эти адреса, а так же в планировщике задать запуск по расписанию, конкретно для этого скрипта нужно запускать каждые 6 минут

/ip firewall raw add action=drop chain=prerouting comment="BlackList Drop All" src-address-list=BlackList

текст скрипта

:global attempt 3
:global temp
:global ipaddr
:global LogErr
:global string
:global signA " via";
:global signB "from ";
:set LogErr [/log find message~"login failure for user." time>([/system clock get time] - 6m)]
:foreach i in=$LogErr do={
:set string [:pick [/log get $i message ] 0 ([:len [/log get $i message ]])]
:set ipaddr [:pick $string ([:find $string $signB]+ 5) ($string [:find $string $signA])]
:if ([:len [/ip firewall address-list find address=$ipaddr]]=0) do {
/ip firewall address-list add list=AttemptBruteforce1 address=[:toip $ipaddr] timeout=30m
:log warning "attempt_bruteforce_1 $ipaddr"}
:if ([:len [/ip firewall address-list find address=$ipaddr]]>0 && [:len [/ip firewall address-list find address=$ipaddr]]<$attempt) do {
:set temp ([:len [/ip firewall address-list find address=$ipaddr]]+1)
/ip firewall address-list add list="AttemptBruteforce$temp" address=[:toip $ipaddr] timeout=30m
:log warning "attempt_bruteforce_ $temp $ipaddr"}
:if ([:len [/ip firewall address-list find address=$ipaddr]]=$attempt) do {
/ip firewall address-list add list=BlackList address=[:toip $ipaddr]
:log warning "Blocked_bruteforce_ip $ipaddr"}}