Pokusy o přihlášení na Mikrotiky

basty

Vim ze je to bezp. Riziko, ale tolikrát mi mac telnet winbox zachránil výjezd ze bych neměnil. Je to super věc.

mpcz

Taky si myslím že to je výborná věc. Na diagnostiku i při zřizovačkách. Je to jedna z věcí, pro které se vždy přikloním k Mikrotiku, pokud ty ostatní věci budou nerozhodně. mpcz, 24.5.2018

lacosta

Fakt to stoji za precitanie ... :

mpcz

Zdravím, v posledních dnech se objevují v logu tyto záznamy. Dá se z toho něco podrobnějšího vyčíst? Děkuji. mpcz, 25.5.2018

<--- ia0 -->logg.jpg<--- ia0 -->

menicks

s takovouhle restrikcí se můžeš jít zahrabat :) ... naseverejky,10.0.0.0/8,192.168.0.0/16

... stačí jeden neaktualizovanej, nezafirewallovany mk třeba u klienta na veřejce nebo i ve vnitřní síti s nat 1 a průnik je na světě .. .dyť ten vir první co zkoumá je jeho nejbližší okolíno a ted si na chvilku predstavme, ze se objevi nejaka dira v mac-telnetu/mac-winboxu a muzes

si vymejslet firewally treba s 'drop any any' na prvnim radku

On projde mac telnet přes vlany? Husty

pgb

nerozumím otázce, mac telnet je ve výchozím stavu zapnutý na jakémkoliv rozhraní, které má fyzický přístup do sítě a má mac adresu (je jedno jeslti to je bridge, vlana, tunely, kombinace)

dalibortoman

s takovouhle restrikcí se můžeš jít zahrabat :) ... ... stačí jeden neaktualizovanej, nezafirewallovany mk třeba u klienta na veřejce nebo i ve vnitřní síti s nat 1 a průnik je na světě .. .dyť ten vir první co zkoumá je jeho nejbližší okolí

no a ted si na chvilku predstavme, ze se objevi nejaka dira v mac-telnetu/mac-winboxu a muzes

si vymejslet firewally treba s 'drop any any' na prvnim radku

On projde mac telnet přes vlany? Husty

Nevim jak se mac-(telnet|winbox) chova ale i kdyby nenaslouchal na vsechn interfacech (mackach zarizeni) tak VLANek je jen 4000

radik

On projde mac telnet přes vlany? Husty

Pres VLANy ano, ale ne mezi VLANy (z jedne do druhe). To jaksi z principu VLAN neni ani mozny.

A pokud jsou od sebe izolovani klienti navzajem, tak je stejne chyba v mac telnetu/winboxu jedno, protoze se klienti mezi sebou neuvidi. Jedine uvidi router ISP, ale tak to jde resit vypnutim sluzby (a nebo ACL pokud je router ISP zpojeny do switche).

dalibortoman

no ted mi doslo, ze jsem vlaste napsal ohledne firewallu na MAc telnet nesmysl. Ona ta komunikace je normalni bezne UDP na port 20561, zvlastni je jen tim, ze je odesilana na IP 255.255.255.255.

Takze firewallem to bloknout jde

i4wifi

V češtině také dnes na rootu:

https://www.root.cz/clanky/malware-vpnf ... a-tp-link/

selic

no ted mi doslo, ze jsem vlaste napsal ohledne firewallu na MAc telnet nesmysl. Ona ta komunikace je normalni bezne UDP na port 20561, zvlastni je jen tim, ze je odesilana na IP 255.255.255.255.

Takze firewallem to bloknout jde

Samozřejmě, že to firewall zablokuje. Je to vyzkoušeno na defaultním firewallu na SXT jednotkách - pokud si to člověk nepovolí, tak nefunguje ani SSH, Winbox ani MAC telnet.

Taky mi dosud není známo, že by vir napadl SXT s tímto firewallem na veřejné IP adrese - firmwary od 6.28 do nojnovějších.

vti

Dobrý den, mohl bych se zeptat zkušenějších, co znamená tohle? Mikrotik mám aktualizovaný pravidelně, mám doma v síti ještě jeden, který není jako router a ten to nedělá. Všechno mimo winboxu mám vypnuté.

19:32:40 firewall,info input: in:bridge1-lan out🙁unknown 0), src-mac bc:ee:7b:87:73:4c, proto TCP (ACK), 192.168.11.133:63831->192.168.11.1:8291, len 40
19:32:40 firewall,info input: in:bridge1-lan out🙁unknown 0), src-mac bc:ee:7b:87:73:4c, proto TCP (ACK,PSH), 192.168.11.133:63831->192.168.11.1:8291, len 156
19:32:40 firewall,info input: in:bridge1-lan out🙁unknown 0), src-mac bc:ee:7b:87:73:4c, proto TCP (ACK), 192.168.11.133:63831->192.168.11.1:8291, len 40
19:32:40 firewall,info input: in:bridge1-lan out🙁unknown 0), src-mac bc:ee:7b:87:73:4c, proto TCP (ACK), 192.168.11.133:63831->192.168.11.1:8291, len 40

Dělá to i z mobilu přes Android mikrotik aplikaci, ta interní IP je moje PC nebo mobil, když koukám z mobilu, ale chová se to stejně. Jede toho několik za vteřinu...

Děkuji a pěkný večer.

rsaf

v input firewallu máš nejspíše pravidlo, které povoluje winbox a u toho pravidla máš zaškrtlé "log"

vti

rsaf Ano, tím to bylo. Děkuji moc!

coolerman1

Existuje pravidlo "drop" a "accept" treba to pouzivat

coolerman1

vti ved a to je riesenie ? log je na to ,aby logoval ,treba to poblokovat ,potom sa cuduju vsetci ,ze maju hacknute stroje

pgb

Jedna věc je, že málo kdo (natož amatéři) umí napsat FW a chápou usazení jednotlivých chainu v netfilteru. Takže obecně řečeno má dropovat vše z venku (rozhodně ne logovat) vyjma povoleného. Pokud si někdo nechá otevřený managment tak mu do toho ty botnety budou bušit a v logu se stejně nevyzná. Má to smysl třeba logovat na úrovni služby, jestli došlo k přihlášení. Logování na úrovni firewallu má specifická využití, ale ne k logování veškerého zahazovaného provozu.

coolerman1

pgb v pripade ,ze dropnes cely input ,tak log bude cisty

pgb

coolerman1 🙂 a sériová konzole vládne světu .... Zjednodušeně pro vti dávám na input:

Estab/related accept
ICMP accept
Src addr pro mng accept
Drop

« Předchozí stránka