Ochrání Mikrotik děravou kameru Avtech

vitov

Mám za Mikrotikem RB751U-2HnD kameru od Avtechu. Mikrotik má pevnou veřejnou (překlad 1) adresu. Bohužel kamera od Avtech má děravý firmware (ELF IMEIJ malware) a výrobce zatím nevypadá, že by to chtěl zalepit. Kamera mi jen zasílá fotky či v případě pohybu krátká videa na FTP. Také někdy nakouknu na živý náhled z jedné pevné adresy nebo z mobilu od O2 (z venčí přistupuji pouze na kameru na port 88). Když nebudu používat cloudové služby Avtechu, je nějaká šance nastavit restrikce na mikrotiku tak, abych zachoval výše popsanou funkčnost a přitom zabránil kompromitaci kamery malwarem?

pgb

vpn a zavřít veřejný přístup

crazyape

Nevim jak funguje ten malware ale nesel by proste jednoduse kameru hodit na neverejku a na mikrotiku nastavit ve firewallu ze na 88 port na vnitrni ip kamery pristup pouze z nejakeho adresslistu ip a vse ostatni drop ?

pazda

Nevim jak funguje ten malware ale nesel by proste jednoduse kameru hodit na neverejku a na mikrotiku nastavit ve firewallu ze na 88 port na vnitrni ip kamery pristup pouze z nejakeho adresslistu ip a vse ostatni drop ?

Pak by byl problém s přístupem z telefonu (pokud nemá pevnou IP).

vitov

Ano, svou "domácí - XX.XX.XX.XX" adresu bych zkusil pořešit takto (ta 147 je ta kamera)

/ip firewall nat

add action=dst-nat chain=dstnat dst-port=88 protocol=tcp src-address=XX.XX.XX.XX to-addresses=192.168.0.147

ale ten rozsah mobilního připojení O2 nevím jak udělám.

invia

Rozsah o2 nejspíš neuděláš. Nejlepší bude ta VPN a vse ostatní zavřít.

goblajz

Povol si přístup jen z českých IP adres a budeš mít od největšího bordelu klid...

Spouštěj tento script každý den:

/tool fetch url=http://www.iwik.org/ipcountry/mikrotik/CZ

:delay 10

/import file-name=CZ

file remove CZ

a povol přístup jen pro address list CZ.

vitov

Děkuji, protože si nejsem moc jistý v kramflecích, raději se zeptám. Bude to s tím whitelistem pro kameru stačit takto?

/ip firewall nat

add action=dst-nat chain=dstnat dst-port=88 log=yes log-prefix="Kamera" protocol=tcp src-address-list=CZ to-addresses=192.168.0.147

Script a scheduler jsem doplnil.

goblajz

Ano, tak by to mělo fungovat.

Povolit vše potřebné a nakonec drop všeho ostatního.

ludvik

Používat NAT takto je sice možné, ale není to správné logicky. Filtruje se v tabulce "filter".

Tedy nat nechat obecně. Následně omezit input (mikrotika také chceme nějak chránit) a forward - stylem povolit established,related, pak povolit přesně co chci aby fungovalo a na konci vše zakázat.

goblajz

Jo jasně, nevšiml jsem si že nastavuje NAT...

vitov

Povol si přístup jen z českých IP adres a budeš mít od největšího bordelu klid...

Spouštěj tento script každý den:

/tool fetch url=http://www.iwik.org/ipcountry/mikrotik/CZ

:delay 10

/import file-name=CZ

file remove CZ

a povol přístup jen pro address list CZ.

Jde nějak jednoduše zabránit tomu, aby vkládání address listu nebylo v logu mikrotiku? Je to spousta řádků.

iTomB

Zkus port knocking, neni pak potreba extra specifikovat IP a otevres si kdykoliv a kdekoliv jen sam pro sebe ...

Tom