Серверная Админа | Компьютерны… on Telegram: “👋 Привет, сетевой друг! Расскажу еще о 3 способ…”

👋 Привет, сетевой друг!

Расскажу еще о 3 способах прокачать защиту Mikrotik.

🟣Автоматическая ловля портсканеров через PSD (port scan detection): В MikroTik есть встроенный детектор сканирования - без L7 и без скриптов. Он анализирует частоту попыток подключений к разным портам и сам помечает сканеры.

/ip firewall filter
add chain=input protocol=tcp psd=21,3s,3,1 \
    action=add-src-to-address-list \
    address-list=port_scanners address-list-timeout=1d \
    comment="Detect TCP port scanners"

add chain=input src-address-list=port_scanners action=drop \
    comment="Drop detected scanners"

Если IP за короткое время лезет на много портов - улетает в бан на сутки. Отсекает nmap, masscan, zmap и 90% автоматических разведок.

🟣Сброс кривых TCP-пакетов (флаги, которые в нормальной сети не существуют): Большая часть атак и сканов шлёт комбинации флагов, которые обычный стек TCP не использует. Их можно рубить ещё в raw.

/ip firewall raw
add chain=prerouting protocol=tcp tcp-flags=fin,syn action=drop comment="Invalid FIN+SYN"
add chain=prerouting protocol=tcp tcp-flags=fin,rst action=drop comment="Invalid FIN+RST"
add chain=prerouting protocol=tcp tcp-flags=fin,ack action=drop comment="Stealth scan pattern"
add chain=prerouting protocol=tcp tcp-flags=!syn,!ack,!rst,!fin action=drop comment="Null scan"

Что это даёт:
• режет stealth-сканы
• режет странные probing-пакеты
• снижает шум в conntrack

Легальный трафик так никогда не ходит.

🟣Отсечение bogon и поддельных source IP на WAN: Очень много мусора приходит с адресов, которые в интернете вообще не должны существовать: private сети, loopback, multicast и т.п.

/ip firewall address-list
add list=bogons address=0.0.0.0/8
add list=bogons address=10.0.0.0/8
add list=bogons address=127.0.0.0/8
add list=bogons address=169.254.0.0/16
add list=bogons address=172.16.0.0/12
add list=bogons address=192.168.0.0/16
add list=bogons address=224.0.0.0/4

/ip firewall raw
add chain=prerouting in-interface=WAN src-address-list=bogons \
    action=drop comment="Drop spoofed/bogon sources"

Эффекты:
• режется spoofing
• уменьшается нагрузка
• половина мусорных атак даже не доходит до firewall logic

Серверная Админа | #Mikrotik