Как в MikroTik вносить ип в бан при конекте на порт?

Question

[Bohdan Zadorozhniy]

Я создал правила

add chain=input protocol=tcp dst-port=3389 connection-state=new action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m comment="" disabled=no

add chain=input protocol=tcp dst-port=3389 connection-state=new src-address-list=ssh_stage1 action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m comment="" disabled=no

add chain=input protocol=tcp dst-port=3389 connection-state=new src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m comment="" disabled=no

add chain=input protocol=tcp dst-port=3389 connection-state=new src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=10d comment="" disabled=no

add chain=input protocol=tcp dst-port=3389 src-address-list=ssh_blacklist action=drop comment="drop ssh brute forcers" disabled=no

Но после того как ип в этих списках, их все равно пускает на правильные порты и можно логиниться, подскажите пожалуйста, как сделать так, что бы на порт который внесен в правило при попытке подключение к нему, то сразу в бан и этот ип больше не мог подключиться по не какому порту вообще

Спасибо за ваши ответы

Answer 1

[Константин Зайцев]

Нужно отключить фасттрак и поменять порядок правил на противоположный. Сначала бан тех, кто в списке ssh_blacklist, потом обработка stage3, stage2, stage1 и в конце новые. На самый верх добавить правило accept для трафика established, related, это правило позволит проходить трафику для пользователя, который успешно залогинился на ssh.

Comments

[Bohdan Zadorozhniy]

я просто с микротиком работаю второй день и не со всем понял про

Нужно отключить фасттрак

и

На самый верх добавить правило accept для трафика established, related

и я правильно понял что эти правила будут работать и для shh и для rdp?

[Константин Зайцев]

Да, фасттрак просто пропускает трафик минуя фаервол для разгрузки маршрутизатора, поэтому его отключаем. Правило accept для трафика established, related не содержит уточнений по типу трафика и портам, будет работать для всех установленных соединений в цепочке, в данном случае инпут, без разбора по сервисам. Его нужно делать первым, потому что правила проверяются по порядку и так меньше нагрузка на процессор маршрутизатора.

[Bohdan Zadorozhniy]

Я удалил фасттрак, но все равно пускает на верный порт

[Константин Зайцев]

Так ведь цепочка инпут - это для трафика, предназначенного самому маршрутизатору. На втором скринеподключение к винде, значит трафик проходит от одного клиента к другому. Это цепочка форвард. Но если клиенты в одном бридже, то для фильтрации этого трафика нужно писать правила не в IP/Firewall, а в Bridge/filters. Знаю что там есть нюансы, но сам не писал фильтрацию на бридже, подсказать не смогу.

[Bohdan Zadorozhniy]

Константин Зайцев, я просто сейчас тренируюсь в локалке настраивать, если я с этими правилами поставлю уже не локалку, то они будут работать верно?

[nApoBo3]

Bohdan Zadorozhniy, изучите packet flow diagram.
У вас правила на цепочке input, это цепочка с тарифом для самого mikrotik, транзитный трафик это цепочка forward.

[Bohdan Zadorozhniy]

nApoBo3, хорошо, спасибо, я сейчас займусь этим и почитаю

[Константин Зайцев]

Bohdan Zadorozhniy, не будут. В том виде что сейчас правила защищают порт 3389 на самом микротике. Так можно защитить винбокс или телнет на роутере, только порты другие. Если Вы хотите защитить компьютер в локальной сети от подбора пароля из интернета, правила нужно писать в цепочке форвард, если от атак из локальной сети, то фильтровать на бридже. Хотя защита fail-to-ban не защитит от ботнета, где каждая следующая попытка подбора пароля идет с новой машины. Гораздо эффективнее port knocking, там по умолчанию порт закрыт для всех и открывается только для конкретной машины при "простукивании" определенной последовательности портов.

[Bohdan Zadorozhniy]

Константин Зайцев, для локалки я только тренируюсь, я понял что для локалки и интернета разные настройки, я тогда на домашнем микротике попробую с форвардом сделать, а там уже и на рабочей сети, мне просто хоть понять как это работает, а то я не работал с микротиком вообще, та и сетью в принципе, только с хостами при настройке сервера на убунте или винде, а из ваших ответов я хоть чуть-чуть понял куда копать