mě říkali že jsem paranoidní, když jsem vypínal winbox mac server, před normální winbox jsem stavěl firewally, defaultní politiku na inputu mám drop a víš co ... ono se mi to vyplácí
Už chybí povolit přístup jen z jedné IP adresy. A na tu IP adresa posadit VPNku :) Né dělám si srandu, ale vyplácí se to
Ty si děláš legraci, ale u nás VPN bylo to jediné co po měsíci lítání a netinstalování po síti pomohlo... (domněnka: ty potvůrky se snad napadali po L2 vrstvě navzájem).
Service:
- WWW, WWW-SSL, FTP, TELNET = disable
- API-SSL, SSH, SNMP (oba jiné porty než default) = blokace na jednu konkrétní IP.
- Winbox = povolen pouze na 3 IP (VPN, důvěryhodná a rezervní).
Našli jsme si svůj postup jak znefunkčnit MAC Telnet (ale když chceme a víme jak, tak funguje).
VPN má ochranu, pokud se na ni 2x za sebou špatně přihlásíš, tak BAN zdrojové IP na 30 dní.
Routery mají povolen pouze forward (a na něm určité restrikce pro zničení neobvykle silně agresivních chování), input povolen pouze z těch 3 IP...
Ano je to občas docela voser, když se něco servisuje, ale co se dá dělat.
Pokud máš na RB dost portů, doporučuji jeden vyhradit jako fyzický přístup (servisní port) kde funguje vše bez těch krutých omezení... (v případě nutnosti osobního servisu na POPu).
Na každém POPu jiná hesla (kdo zná klíč podle kterého se definuje heslo, tak to není takový problém)...
Také mi říkali, že to přeháním, nakonec ta VPN byla uznaná jako dobrý nápad. Teď pracuji na tom, aby byl management, (dohled-nagios) oddělen od uživatelských dat (zkouším několik bláznivin jako EoIP, VLAN, atd.)...
Víc nevyzradím, nebo mi utrhnou hlavu :)
