O2 veřejná IPv4 a SNMP

mirek_k

Prosím o radu. Mám vzdálený router s povoleným SNMP (UDP 161), na které potřebuji se dostat z DUDE.
Na firewallu Mikrotiku žádné příchozí packety nejsou vidět.
V dalších třech případech (menší ISP) mi to běží zcela bez problémů.
Je možné, že u O2 (DSL) je přes veřejnou IP adresu port blokovaný?
Ping, RDP, WinBox atd. fungují.
Díky Mirek

ludvik

O2 Security?

V bezpečnostních Profilech 2, 3 a 4 je kromě UTM firewall, který u připojení k internetu v rámci lokální sítě povoluje komunikaci jen na následujících portech: 20 (FTP), 21 (SSH), 22 (SSH), 25 (SMTPS), 47 (GRE), 50 (ESP), 80 (HTTP), 110 (POP3), 143 (IMAP), 443 (HTTPS), 465 (SMTPS), 500 (IKE), 993 (IMAPS), 995 (POP3S), 1194 (OpenVPN), 1701 (L2TP), 1723 (PPTP), 3389 (RDP), 4500 (IKE), 10443 (TCP), 8880-8890 (IP kamery – geolokačně povolené jen z České republiky).

mirek_k

OK, díky za vysvětlení. To pak už by pak nebyla moc veřejná adresa. Zajímavé je, že jde WinBox, který není ve vyjmenovaných portech. Dále funguje 444 (HTTPS), RDP mám taky na jiném portu.. Nějaké řešení pro SNMP?

nosek_tomas2004

mirek_k Kontaktovat O2 Guru 😅

Pokud nevidíš ani countery, tak to blokují někde po cestě.
A nebo si do lokality protáhnout tunel a chodit přes něj...Určitě by to bylo bezpečnější.

Potkal jsem se s něčím podobným u jednoho většího místního ISP (byl to tuším port winboxu, který byl neprůchozí). Vyřešeno právě tunelem (L2TP, ale dneska už asi spíš Wireguard)

mirek_k

nosek_tomas2004 To je samozřejmě v plánu, ale není to moje přípojka a majitel to asi bude mít problém vysvětlit. Určitě budeme kontaktovat O2.

sacnok

mirek_k O2 to s tebou, nebo zákazníkem, řešit nebude, port 161 májí blokovaný od nepaměti....
U zákazníků kteří mají router Mikrotik, abychom mohli vyčítat data přes SNMP, používáme Redirect na jiný port. Funguje to bez problémů.

sacnok

/ip firewall nat
add action=redirect chain=dstnat comment="SNMP redirect 30161 -> 161" dst-port=\
30161 protocol=udp src-address-list=mgmt to-ports=161

Pro úplnost dodávám, že v address list je potřeba mít přidanou IP adresu, pro kterou chceš mít povolený přístup, popřípadě je potřeba z příkazu vyhodit src-address-list=mgmt

cmgn

O2 podpora stojí za houby, za verejku skoro 3 kila, blokuji porty a stejne ti lidi u té korporace budou….. clovek tohle nepochopí

jcltm

cmgn Já spíš absolutně nechápu jak u nich může mít ještě někdo služby. Chovají se jako šmejdi a ještě ta služba stojí za 💩 Ještě že lze mít v síti CETINu službu i od solidnějších ISP.

mirek_k

cmgn Chápu, ale není to na mně. Jsem pouhý správce.

mirek_k

sacnok Přesměrovat port zvládnu :-), díky.