MikroTik - BEZPECNOSTNI UPOZORNENI !!! DULEZITE - zablokovane MikroTiky

crazyape

Zdar chlapi,

řeším od léta 2018 něco podobného s neustálými útoky na všechny MTK, které spravuji. Finálním a zatím funkčním řešením prozatím byla blokace na INPUT všech zahraničních IP adres a také blokace portu 53 (opět na INPUT). Tím jsem se zbavil všech útoků a byl klid. Problém nastal, když jsem zjistil, že díky blokaci DNS (port 53) mi např. nefungují zálohy NAS na servery jako Amazon či Google Drive... A to už je celkem problém. Snažil jsem se tedy "pogooglit" IP adresy oněch serverů, na které zálohy probíhají (s tím, že je přidám do výjimek), ale bohužel bez úspěchu. Zřejmě nemám všechny. Zálohy jsem tedy nouzově řešil vždy dočasným vypnutím blokace DNS, ale ejhle, dnes po 5-ti minutách MTK "zasyflený". Resp. útočník nestihl nahrát žádný script, ale stihl mi smazat všechna pravidla na FW. Takže toto dočasné řešení je dost nebezpečné :-)

Nemáte někdo jiný tip, jak toto obejít?

Díky moc,

Dědek.

Problém je primárně v tom, že neumíte to zařízení nastavit. Tak jak psal někdo již níže doporučil bych aby jste si pořídil nějaký TP-Link, nebo Asus atp.. A nebo školení MikroTiku. Máme stovky kusů mikrotiků na veřejkách a nikdy žádnej problém. Takže začal bych asi tak:

- factory default

- netinstallem nejnovejší FW

- ponechat výchozí firewall z defconfu

- do něj přidat pravidlo na první místo input src adress (veřejka z které se na daný mikrotik potřebujete dostat z venku) port: 8291 protocol TCP+udp action accept

- nenastavovat DNS v ip-> DNS tam to nechat prázdné ale nastavit rozdávaní dns přimo z DHCP serveru (ip-> dhcp server-> network)

- ip services SSH,TELNET,FTP povolit jen z nejake adresy firewallem (opet pravidlo input src adress: x.x.x.x port x protocol acept)

- ip services WWW,API vypnout uplne

- nové heslo cisla,pismena + specialni znaky

To by mohlo pro začátek stačit.

dedek_2019

Hmm, tak díky za radu.... Jste fakt pašáci, poradili jste skvěle! Bylo rychlejší si najít tu drobnou chybku ve FW sám, než se jí dozvědět od vás.

Koukám, že podle osazenstva tohodle fóra, jsou zřejmě všichni méně zkušení uživatelé úplní idioti, co si neumí nastavit nový login...

Tak se tu bavte, "ajeťáci" :-)

to snad nemyslí vážně. Za chvíli se dozvíme že nezměnil hesla nebo má starý verze. Samozřejmě blokace dns zevnitř je blbost a nemusí se blokovat nic když není obsluha blbá a vypne "Allow remove Request" v nastevní DNS a upraví nastavení DHCP serveru aby dávalo třeba rovnou googlácký DNS. Jako škoda mluvit, začínám mít alergii na tyhle homo domo "síťaře". Moje rada zní, kup si router od UBNT.

ladik

Kdyby jsi si přečetl trošku z tohoto vlákna bylo by ti to jasné.

Navíc ti tu jasně poradili, to menší rýpnutí nepočítám.

A jak jsi na tu "malou" chybku ve fw přišel? A jak opravil? Přeprogramoval jsi ROS?

Díky za odpověď "ajeťáku".

hapi

Hmm, tak díky za radu.... Jste fakt pašáci, poradili jste skvěle! Bylo rychlejší si najít tu drobnou chybku ve FW sám, než se jí dozvědět od vás.

Koukám, že podle osazenstva tohodle fóra, jsou zřejmě všichni méně zkušení uživatelé úplní idioti, co si neumí nastavit nový login...

Tak se tu bavte, "ajeťáci" :-)

to snad nemyslí vážně. Za chvíli se dozvíme že nezměnil hesla nebo má starý verze. Samozřejmě blokace dns zevnitř je blbost a nemusí se blokovat nic když není obsluha blbá a vypne "Allow remove Request" v nastevní DNS a upraví nastavení DHCP serveru aby dávalo třeba rovnou googlácký DNS. Jako škoda mluvit, začínám mít alergii na tyhle homo domo "síťaře". Moje rada zní, kup si router od UBNT.

kámo... co čteš v levém horní rohu tohohle fora? já tam čtu "poskytovatelé sobě" a už jenom fakt že se to tady jmenuje "ispforum" jaksi naznačuje že by se tu měli srocovat ISPíci což by mělo značit jistou úroveň znalostí která určitě zahrnuje správně zablokovat DNS dotazy z internetu velmi prostým pravidlem ve firewallu. Tim chci naznačit že tu neni support pro lidi jako si ty a proto se ti ani nikdo nesnažil polopatě napsat řešení.

ludvik

Nechci ti do toho kecat - ale jak jsme ti mohli najít chybu ve firewallu, když jsi nám ho nepředvedl?

Méně zkušení nemusí být idioti. Ale něco přečíst si odmítají, natož něco hledat. O správném firewallu tu jde řeč snad každý měsíc. Jako slušný odpich lze využít i wiki mikrotiku, případně jeho výchozí konfiguraci. Zase tolik lidí tady jako jako support nefunguje, aby je bavilo pořád radit to samé.

A jsi-li laik, je na to jiná část tohoto fóra ... tam bys asi měl nějaké "hájení".

Hmm, tak díky za radu.... Jste fakt pašáci, poradili jste skvěle! Bylo rychlejší si najít tu drobnou chybku ve FW sám, než se jí dozvědět od vás.

Koukám, že podle osazenstva tohodle fóra, jsou zřejmě všichni méně zkušení uživatelé úplní idioti, co si neumí nastavit nový login...

Tak se tu bavte, "ajeťáci" :-)

shooter

Tento bordel jsem dnes objevil v MK v ARP je to víc než divny

je napadenej MK nebo to Ubntčko ?

16 D 169.254.124.158 00 bridge1

17 D 169.254.7.46 00 bridge1

18 D 169.254.103.131 00 bridge1

19 D 169.254.34.93 00 bridge1

20 D 169.254.7.229 00 bridge1

21 D 169.254.55.175 00 bridge1

22 D 169.254.75.141 00 bridge1

23 D 169.254.40.103 00 bridge1

24 D 169.254.72.137 00 bridge1

25 D 169.254.84.10 00 bridge1

26 D 169.254.43.60 00 bridge1

27 D 169.254.109.183 00 bridge1

28 D 169.254.48.150 00 bridge1

29 D 169.254.74.194 00 bridge1

30 D 169.254.7.70 00 bridge1

31 D 169.254.88.40 00 bridge1

32 D 169.254.116.142 00 bridge1

33 D 169.254.60.17 00 bridge1

34 D 169.254.71.31 00 bridge1

35 D 169.254.36.66 00 bridge1

36 D 169.254.121.181 00 bridge1

37 D 169.254.52.135 00 bridge1

38 D 169.254.56.94 00 bridge1

39 D 169.254.93.168 00 bridge1

hapi

ty používáš 169.254.x.x?

iTomB

Videl bych to jako zarizeni, co nenasli DHCP a maji IP link-local a tohle je za nejakym wifi bridgem, ktery maskuje MAC.

shooter

ty používáš 169.254.x.x?

Adresy neustale přibývaji a mizí proto je mi to divny ted třeba 54 zaznamu

zařízení je Nanostation5 v režimu AP a na něm jen jeden klient a ten chodí s jinou MAC

Ubnt poslední FW 4.0.4

helapc

4.0.4 ??

hapi

já tohle viděl včera na edge switchy, neni to ARP ale MAC tabulka a 169.254. tam lítaly odkud mohly. PC, kamery.. odkud to mohlo.

shooter

a přišel si na něco proč se to děje ?

macek

Zdar chlapi,

řeším od léta 2018 něco podobného s neustálými útoky na všechny MTK, které spravuji. Finálním a zatím funkčním řešením prozatím byla blokace na INPUT všech zahraničních IP adres a také blokace portu 53 (opět na INPUT). Tím jsem se zbavil všech útoků a byl klid. Problém nastal, když jsem zjistil, že díky blokaci DNS (port 53) mi např. nefungují zálohy NAS na servery jako Amazon či Google Drive... A to už je celkem problém. Snažil jsem se tedy "pogooglit" IP adresy oněch serverů, na které zálohy probíhají (s tím, že je přidám do výjimek), ale bohužel bez úspěchu. Zřejmě nemám všechny. Zálohy jsem tedy nouzově řešil vždy dočasným vypnutím blokace DNS, ale ejhle, dnes po 5-ti minutách MTK "zasyflený". Resp. útočník nestihl nahrát žádný script, ale stihl mi smazat všechna pravidla na FW. Takže toto dočasné řešení je dost nebezpečné :-)

Nemáte někdo jiný tip, jak toto obejít?

Díky moc,

Dědek.

Jak blokneš veškeré zahraniční adresy?

arkanoid

Zdar chlapi,

řeším od léta 2018 něco podobného s neustálými útoky na všechny MTK, které spravuji. Finálním a zatím funkčním řešením prozatím byla blokace na INPUT všech zahraničních IP adres a také blokace portu 53 (opět na INPUT). Tím jsem se zbavil všech útoků a byl klid. Problém nastal, když jsem zjistil, že díky blokaci DNS (port 53) mi např. nefungují zálohy NAS na servery jako Amazon či Google Drive... A to už je celkem problém. Snažil jsem se tedy "pogooglit" IP adresy oněch serverů, na které zálohy probíhají (s tím, že je přidám do výjimek), ale bohužel bez úspěchu. Zřejmě nemám všechny. Zálohy jsem tedy nouzově řešil vždy dočasným vypnutím blokace DNS, ale ejhle, dnes po 5-ti minutách MTK "zasyflený". Resp. útočník nestihl nahrát žádný script, ale stihl mi smazat všechna pravidla na FW. Takže toto dočasné řešení je dost nebezpečné :-)

Nemáte někdo jiný tip, jak toto obejít?

Díky moc,

Dědek.

Jak blokneš veškeré zahraniční adresy?

Zdravim.

Jedine, ze s vytvoris databazu IP adries, ktora bude pojednavat o tom, ktora IP je na co

- IP pre zakaznika

- Ip pre zariadenie v sieti

Napriklad :

- MikroTik uz zakaznika ma IP 172.30.1.200

- dany zakaznik ma IP 172.30.1.1

- 172.30.1.200 nebude mat pristup do internetu, ale len do tvojej sieti

- zariadenia nebude mat pristup do NETU a je to vybavene.

- 172.30.1.1 ma pristup komplet, lebo to je zakaznicka IP

Svojho casu som nieco take naklepal na FREE BSD pre IPFW firewall aj zo shapovanim

- bezalo to na MINI PC

- napriklad http://www.qotom.net/product/45.html

- je to len otazkou exportu s tvojej internej databazy na dany stroj, ktory obsluhuje nejaku cast tvojej siete

- i IPFW vies nastavit vsetko potrebne. Len sa s tym treba hrat.

honzam

IPV6 průser:

https://forum.mikrotik.com/viewtopic.ph ... 72#p723772

honzam

Tak Mikrotik potvrdil že to je chyba přímo v kernelu.

Prý bude do 9.dubna opraveno

ludvik

Jestli to dobře chápu: a) není to zranitelnost, je to jen chyba, b) vědí to rok! ale opravit to stihnou do devátého dubna ... čili jedenáct dnů po profláknutí na fóru a maximálně dny před zveřejněním. c) možnost jiné obrany než upgrade není a jelikož nejsou podrobnosti, tak ani na něčem mimo mikrotik.

Celý svět bude mít pár dnů na upgrade prakticky všech ROS.

the_max

6.45 beta22 by to měla opravovat

honzam

Jestli to dobře chápu: a) není to zranitelnost, je to jen chyba, b) vědí to rok! ale opravit to stihnou do devátého dubna ... čili jedenáct dnů po profláknutí na fóru a maximálně dny před zveřejněním. c) možnost jiné obrany než upgrade není a jelikož nejsou podrobnosti, tak ani na něčem mimo mikrotik.

Podle mě to zranitelnost je. Pokud ti někdo přes IPV6 může shodit celý router tak to je jen chyba? :)

Možnost obrany je - vypni IPV6 v síti a problém se tě netýká.

Ano vědí o tom skoro rok. Od dubna 2018 a oprava zatím pouze v 6.45beta22 (vydané dnes). Ostatní Stable kanály budou dle mě následovat brzy...

ocior

Jde to shodit i pres Link-Local adresy, takze je potreba nemit balicek ipv6, jinak to v jednom segmentu site porad jde pouzit.

6.45beta22 to neopravuje - https://youtu.be/TzC-JVjMK8k

https://forum.mikrotik.com/viewtopic.ph ... 48#p723977 a dal je to zatim k placi.

« Předchozí stránka Další stránka »