O2 firewall

okoun

Pár neziskovek (školy, sociální zařízení...) kterým dáváme konekt přišla ze středočeského kraje tahle zpráva která vypadá dost zvláštně a úplně nechápu konfiguraci kteoru máme udělat 🙂
Došlo někomu také? PPFka zase dostala dárek z veřejných peněz zjevně 🙁

Vážená paní/vážený pane,
v souvislosti s implementací veřejné zakázky, v rámci projektu
Zvýšení kybernetické bezpečnosti pro příspěvkové organizace
Středočeského kraje (PO), si Vás dovolujeme požádat o zaslání
následujících technických informací formou odpovědi na tento email
(stačí doplnit do textu níže) a to nejpozději do 5 pracovních
dnů, od obdržení této zprávy. Přikládáme i topologii zapojení
na PO. Nejedná se o změnu současného poskytovatele internetové
konektivity.

Název příspěvkové organizace: xxxxxxx
Adresa: xxxxxx
IČ organizace: xxxxxxxx
Budoucí instalované zařízení: MikroTik
Prosíme o součinnost v těchto/následujících bodech:

1) Vyčlenit fyzický port na routeru příspěvkové organizace

Zařízení (název/model/typ…):
Označení/port č.:

2) Přidělit rozsah spojovací sítě a nakonfigurovat na port z
bodu č. 1

3) Naroutovat síť 172.16.255.240/28 via IP přidělenou O2 FW v
bodě č. 2

4) Uveďte prosím: IP, gateway a síťovou masku přidělenou O2
FW v bodě č. 2
IP:
Gateway:
Síťová maska:

5) Zajistit, že přidělená IP v bodě č. 2, má konektivitu do
internetu

6) Kontakt na osobou, která router konfigurovala
Jméno, příjmení:
Telefon:
Email:

skrivy

okoun Takhle to chápu já:

Vytvořit routovaný port a přiřadit tomu jeden rozsah, který se zatím nepoužívá
Cílem je, aby zařízení nebylo v L2 síti s ostatními zařízeními
Vytvořit statickou routu na ten jejich rozsah, co si tam specifikovali
Zajistit, že to jejich zařízení bude mít přístup do internetu

Nevidím v tom žádnou složitou vědu. Podobné věci děláme celkem často.
Diskutabilní je, jestli to má mít přístup do zbytku zákaznické sítě.

Jinak bych se dotázal na IPv6 konfiguraci.

okoun

skrivy no jako docela v tom vidím problém protože za tou jejich slavnou o2 krabičkou má být PC které komunikuje se středočeským krajem, tedy je to někde v kanceláří kde je hloupej switch a router jako hlavní brána do netu je někde daleko v jiné budově, tedy jako všude měnit za vlanové switche kvůli tomu?
má to být jakýsi zabezpečený tunel pro komunikaci s krajem a já nechápu proč takhle? proč tam není krabička co má dhcp-klienta a je jedno jaká je tam adresa a je jedno jestli se bude měnit, proč propána jána ta routa? 🙂
nebo to chápu nějak jinak?

skrivy

okoun To bych se spíš ptal jich.

~~Jako hack bych tam prostě přidal další mikrotik, další NAT a vysral se na to.~~

Jako hack bych dal další L3 prvek a naroutoval prefix přes to.

pelirob

okoun ....tedy je to někde v kanceláří kde je hloupej switch a router jako hlavní brána do netu je někde daleko v jiné budově, tedy jako všude měnit za vlanové switche kvůli tomu?

A nemůžeš před to PC dát jiného (staršího, nebo vyřazeného) Mikrotika a udělat z něj EoIP tunel k tomu hlavnímu routeru?
Pak by jsi teoreticky nemusel tahal VLANy přes několik budov, všechen provoz poženeš tím tunelem.

okoun

skrivy jasně ale zase zbytečně vyhozené prachy, jsou to neziskovky že....

skrivy

okoun klidně bych na to použil nějaký vyřazený mikrotik 🙂
Jako je blbý, že to stojí čas. Pak sem napiš, jaký k tomu mají důvod.

Ještě mě napadlo, že to může být záminka na prodej jejich internetu. Alá - jé Váš poskytovatel to neumí? Naši technici Vám to rádi nastaví.

stepan_benes

naroutovat na fyzicky oddělenou samostatnou síť, nastavit firewall tak, že k nepustím vůbec nic mimo inincialozoavaný komunikace zevnitř, a už vůbec nic z vnitřní sítě a napsal bych jim LiebesBrief, že v rámci standardních pravidel kybernetický bezpečnosti ať mi sdělí účel zařízení, po jakých portech půjde jaká komunikace, kterou bych měl povolit.

Do té doby v rámci normálních pravidel kybernetické bezpečnosti nic. Platí co není povoleno je zakázáno a povolím jen to co znám, vím co to dělá, bylo mi představeno a vím s kým mám tu čest. Do té doby kill'em all.

zajdee

Asi to bude tahle zakázka: https://zakazky.kr-stredocesky.cz/contract_display_13131.html
Já to chápu tak, že
1) jejich router může být v centrálním místě (u hlavního routeru organizace)
2) na ten router je třeba naroutovat privátní IP adresy z požadavku
3) stanice můžou být pořád ve svých sítích, ale bude na nich nainstalován VPN klient - není to úplně jasné, ale zdá se, že ten VPN klient bude komunikovat s VPN serverem StČ kraje, a aby to bylo echt secure, tak ta VPN poběží skrze nějakou další tunelovou infrastrukturu (která bude dostupná na těch privátních IP, které chtějí naroutovat)

Jak správně poznamenal @stepan_benes vedle na Twitteru, "proč ten jejich firewall má mít přístup do celého internetu", těžko říct. Asi nedokážou garantovat, že se nezmění endpointy, kam se ta jejich krabice bude připojovat. 😃

Samozřejmě dokumentace stojí za starou bačkoru a takový technický detail se v ní nedočteme, ale napovídají tomu tahle dvě schémata.

pavema

K nám do školy to také dorazilo a obratem jsme nastavili. Žádná věda to opravdu není. Pro nezasvěcené přikládám ještě obrázek, který přišel spolu s požadavkem na toto nastavení. Akorát je divné, že my máme mít Fortigate, kdežto autor původního příspěvku má zmíněný Mikrotik.

pavema

Právě mi přišel mail ohledně toho O2 firewallu. Možná se tato informace bude někomu hodit.
Zítra mi ho přijdou namontovat.

"Poprosím o změnu směrované sítě na 172.22.255.240/28 na O2 FW – v mailové komunikaci byla špatně uvedena 172.16.255.240/28."