MTik.pro новости

MikroTik: CVE-2023-30800

Веб-сервер, используемый в MikroTik RouterOS version 6, подвержен проблеме с повреждением "heap memory" (heap memory corruption issue). Удалённый и неаутентифицированный атакующий может сформировать и отправить специфичный HTTP пакет, который воспроизведёт проблему (can corrupt the server's heap memory).
В результате веб сервер скрашится и сразу же перезапустится.

Проблема исправлена в RouterOS 6.49.10 stable.
RouterOS version 7 не подвержена.

----
Время обновляться!

Уязвимость в маршрутизаторах MikroTik, приводящая к выполнению кода при обработке IPv6 RA
В операционной системе RouterOS, применяемой в маршрутизаторах MikroTik, выявлена критическая уязвимость (CVE-2023-32154), позволяющая неаутентифицированному пользователю удалённо выполнить код на устройстве через отправку специально оформленного анонса маршрутизатора IPv6 (RA, Router Advertisement).

Исследователи:
✌️Придумывают Band Steering, (переключение между двумя сетях с одним SSID, но в разных диапазонах 2,4 / 5 ГГц)

Разработчики ОС:
🤘Внедряют поддержку Band Steering на ОС устройств, для автоматического переключения к "лучшей" сети

Производители двухдиапазонных роутеров:
😳Называют сети по разному, предлагая пользователю самому выбирать сеть 2,4 или 5 ГГц

Разработчики ОС:
🤯Пилят костыль для автоматического выбора лучшей сети из двух с разными SSID
https://t.me/ity_humor/7794

На что обратить внимание в вашей сети плюсом к рекомендациям ранее, чтобы снизить риски по ИБ.

Возможно, что-то покажется очевидным, но очевидные проблемы всё равно актуальны!

❕ Обновляйте ПО на оборудовании
важно следить за новостями и читать changelog
Хорошие вендоры умеют признавать ошибки и стараются уведомить пользователях об известных проблемах.

❕ Используйте различные пароли
(не используйте одинаковые логины и пароли везде)
единый пароль очень удобен для работы с оборудованием, но также он удобен и для тех "злодеев"

❕ Не выдавайте все привилегии пользователям, которым это не требуется
Даже если у вас всё очень круто с учётками и уникальными паролями, не стоит распространять пароль с полным доступом среди всех инженеров первой линии тех.поддержки
(лучше дайте учётку только с необходимыми правами на прод и сделайте им тестовый стенд)

❕ ограничивать доступ на оборудование
Не достаточно оградить сеть управления оборудованием от сети с компами и от внешки файрволом
Также полезно включить самозащиту, защитив интерфейс управления от других устройств в той же сети

❕ IPv6
Как это тут оказалось?
К удивлению большинства, но в IPv6 есть встроенный механизм защиты от сканировани сети.
Чтобы подключиться на адрес управления, его банально сначала нужно знать (не помнить, а, например, хранить в NetBox)

——
ВНИМАНИЕ!
Выполнение всех рекомендаций, не гарантирует вам ничего.
Но если игнорировать все пункты можно собрать BINGO BFG9000
{quote}...производит опустошающий эффект, нанося огромный урон всем...{quote}

В любой сети есть решения, которые работают, но админы понимают, что надо что-то менять и переделывать.
Хорошо если среди коллег есть человек, который превентивно бьёт тревогу и к нему прислушиваются.
Плохо, когда человек такой есть, но руководители считают, что итак важных задач хватает.
——
Проблемы, о которых вы уже знали, но откладывали на время поспокойнее, часто стреляют (даже у крупных ребят, вроде Yandex).
Иногда при перегрузках, иногда при авариях, иногда просто так, а иногда и с чьей-то помощью.

Не ждите выстрела, встретьтесь с коллегами, обсудите потенциальные проблемы, сформулируйте риски. (Риски желательно донести служебкой до руководства, чтобы не быть крайним).

Не сочтите за рекламу.
Но вот тут можно понаблюдать по косвенным признакам за ходом модернизации сети крупного федерального оператора.

🎄Новый Год всё ближе!

Пусть уходящий год всех нас сильно удивил (не опять, а снова), но все мы смогли научится адаптироваться.

Касательно сетевых технологий, в этом году мы как никогда ранее ощутили необходимость развиваться не только в глубь MikroTik, но и в ширь: смотреть на другие решения.

Поэтому желаем в Новом 2023 Году продолжать расширять кругозор, смотреть на другие решения и добиться такого результата, чтобы вы могли говорить "я разбираюсь в сетях" вместо "я умею настраивать MikroTik через WinBox" 😂!

P.S.
И если вам скучно пишите в комментариях с какими новыми железками/решениями вы познакомились в уходящем году, а что хотите изучить в Новом (запросы на посты/статьи приветствуются)

Ушёл из жизни российский энтузиаст IPv6 и технологий мобильной связи Олег Ермаков, также известный как P@davan, Epm@k, @ollegattor.
Запуск IPv6 на мобильной сети МТС - его рук дело.
Олег выступал с рассказом об этом внедрении на RIPE NCC Meeting 3 года назад: https://www.youtube.com/watch?v=jBpubiE9r_w
Наши соболезнования родным и близким.

И сейчас будет немного про L3HW offloaf

Состоялся вебинар на Английском про RouterOS v7 от Kevin Myers (Senior Network Architect) из iparchitechs.com
(Слайды с комментариями внутри)

С 20 по 25 июля проходит #GUADEC -- крупнейшая конференция сообщества GNOME.

Пожалуй, самая важная презентация про независимость Интернета с обзором подходов P2P и Local-First.

Я сам много не могу рассказать, но в канале level_256 можно познакомиться с презентацией и комментариями на русском.

в ЦКП “Терскольская обсерватория” недавно запустили новый телескоп

ТРЕНИНГ #MTCNA 13-15 мая 2022 в Перми

Статус "Suspended" нашего тренера Тимофея и запросы от желающий вдохновили на "замороженный тренинг" состоящий из 2х тренингов.

1ый тренинг пройдет 13-15 мая, традиционно в него входит:
— часы занятия (с 09:00 до 19:00);
— распечатанные учебные материалы;
— оборудование для лабораторных работ;
— кофе-брейки;
— обеды;
— приятные бонусы.

2ой состоится при первой же возможности в будущем, включает:
— повторение материала;
— тестирование и сертификация MikroTik;
— лицензия RouterOS level 4.

Для участия напиши в комментарии "ОГОНЬ", наш менеджер свяжется с вами, ответит на вопросы и расскажет о горячей скидке.
Или зарегистрируйся на тренинг по ссылке —> https://mtik.pro/

"Простой" домашний роутер всё равно роутер и не такой простой, особенно если твой дом пытается быть умным или вообще не отличим от офиса. Термин SOHO как раз про это, хотя на рынке, всё же, присутствуют отдельные классы домашних и офисных маршрутизаторов. Поэтому не удивительно, что требуемый функционал SOHO роутера для построения домашней IPv6 сети описан не одним RFC, обзор которых приведён в блоге APNIC.

Вчера у нас закончился курс по #IPv6 в Москве.

А также вчера стали доступны новые версии RouterOS:
stable 6.49.6 -- исправления
stable 7.2.1 -- исправления

Но интереснее выход 7.3beta33 (testing)
Большой список изменений:
...
*) gps - added GPS package support for Chateau devices;
...
В Шато был GPS?

К новости выше про CRS504-4XQ-IN :

видео и описание.

Скоро MikroTik анонсирует новую модель коммутатора, первую модель в серии 5xx.

CRS504-4XQ-IN — до $800 (не точно)

Доступный , компактный, энергоэффективный,
100-гигабитный!!!

Основные характеристики:
• порт ethernet 100 Мбит/сек
• 4 порта QSFP28 (100Гбит/сек)
• 16 MB RAM
• 16 MB Flash storage

Каждый порт QSFP28 можно использовать различными вариантам:
• 1x 100 Гбит/сек (модуль QSFP28)
• 4x 25 Гбит/сек (breakout QSFP28 -> 4x SFP28)
• 1x 40 Гбит/сек (модуль QSFP)
• 4x 10 Гбит/сек (breakout QSFP -> 4x SFP+)

Оборудование MikroTik в России сейчас стоит дороже, чем в других странах, скорее всего из-за того, что MikroTik закрыл поставки с 28 февраля 2022 года.

Например, SFP+ модуль S+RJ10.
На официальном сайте MikroTik стоит $65.
А даже у дистрибьюторов более 9 000 рублей.

Но увеличение стоимости на "микроты" с завтрашнего дня будет для всех.

В Прайс листах с 1 апреля 2022 года увеличены стоимости позиций на 12-20%.