Я действующий сетевой инженер, расскажу вам о сетях в доступной форме.
Реклама - @bashmak_media
Мы на бирже: https://telega.in/c/school_network
РКН: https://vk.cc/cHYqt5
Post #2515
5.57K
👋
🟣Контроль аномалий через connection-limit + address-list (тихий брут и паразитные клиенты): Не весь вред выглядит как флуд. Часто это «тихий» перебор соединений - VPN, SSH, API, SIP. Ограничиваем число одновременных сессий и сразу складываем источник в список.
🟣Изоляция сервисов через VRF + firewall (management plane protection): Даже если сервисы защищены паролями, лучше вообще не показывать их миру. Выносим управление в отдельный VRF и физически изолируем plane управления от пользовательского трафика.
В итоге Winbox, SSH, API существуют в отдельной логической реальности. С WAN до них просто нет маршрута.
🟣L7-профили не для блокировки, а для триггеров: Layer7 часто ругают за нагрузку, но его можно использовать точечно, как детектор, а не фильтр. Например, ловим подозрочные HTTP-сигнатуры и реагируем адрес-листом.
Трафик анализируется только до первого совпадения, дальше IP сразу уходит в блок, нагрузка минимальна, эффект максимальный.
🟣И ловите бонус: контроль самой защиты. Любая защита должна быть наблюдаемой. Минимум - логирование триггеров, а максимум - отдельный syslog.
Серверная Админа | #Mikrotik
Привет, сетевой друг! Расскажу еще о 3 способах прокачать защиту Mikrotik.🟣Контроль аномалий через connection-limit + address-list (тихий брут и паразитные клиенты): Не весь вред выглядит как флуд. Часто это «тихий» перебор соединений - VPN, SSH, API, SIP. Ограничиваем число одновременных сессий и сразу складываем источник в список.
/ip firewall filter
add chain=input protocol=tcp dst-port=22,8291 \
connection-limit=3,32 \
action=add-src-to-address-list \
address-list=conn_abusers address-list-timeout=1h \
comment="Too many parallel connections"
add chain=input src-address-list=conn_abusers action=drop \
comment="Drop connection abusers"
🟣Изоляция сервисов через VRF + firewall (management plane protection): Даже если сервисы защищены паролями, лучше вообще не показывать их миру. Выносим управление в отдельный VRF и физически изолируем plane управления от пользовательского трафика.
/ip vrf
add name=mgmt_vrf interfaces=ether1-mgmt
/ip firewall filter
add chain=input in-interface=ether1-mgmt action=accept comment="Mgmt only"
add chain=input action=drop comment="Drop all other input"
В итоге Winbox, SSH, API существуют в отдельной логической реальности. С WAN до них просто нет маршрута.
🟣L7-профили не для блокировки, а для триггеров: Layer7 часто ругают за нагрузку, но его можно использовать точечно, как детектор, а не фильтр. Например, ловим подозрочные HTTP-сигнатуры и реагируем адрес-листом.
/ip firewall layer7-protocol
add name=bad_http regexp="(sqlmap|nikto|acunetix)"
ip firewall filter
add chain=forward layer7-protocol=bad_http \
action=add-src-to-address-list \
address-list=l7_suspects address-list-timeout=1d \
comment="Detect scanners via L7"
add chain=forward src-address-list=l7_suspects action=drop \
comment="Drop L7 scanners"
Трафик анализируется только до первого совпадения, дальше IP сразу уходит в блок, нагрузка минимальна, эффект максимальный.
🟣И ловите бонус: контроль самой защиты. Любая защита должна быть наблюдаемой. Минимум - логирование триггеров, а максимум - отдельный syslog.
/system logging
add topics=firewall action=memory
add topics=firewall action=remote
Серверная Админа | #Mikrotik
- ❤ 13
- 👍 6
