Взлом: В логах Mikrotik вижу чужое подключение l2tp|ipsec — подключается кто-то левый?

Question

[Владимир Пазий]

Есть маршрутизатор RB-951G-2Hnd
Была необходимость на днях настроить l2tp/ipsec. Настроил и все чудно работает, логины пароли ни кому не давал, однако теперь в логах вижу:
02:25:18 l2tp,debug,packet rcvd control message from 183.60.48.25:1785
02:25:18 l2tp,debug,packet tunnel-id=0, session-id=0, ns=0, nr=0
02:25:18 l2tp,debug,packet (M) Message-Type=SCCRQ
02:25:18 l2tp,debug,packet (M) Protocol-Version=0x01:00
02:25:18 l2tp,debug,packet (M) Framing-Capabilities=0x1
02:25:18 l2tp,debug,packet (M) Bearer-Capabilities=0x0
02:25:18 l2tp,debug,packet Firmware-Revision=0x601
02:25:18 l2tp,debug,packet (M) Host-Name="T450-150520-NB"
02:25:18 l2tp,debug,packet Vendor-Name="Microsoft"
02:25:18 l2tp,debug,packet (M) Assigned-Tunnel-ID=5
02:25:18 l2tp,debug,packet (M) Receive-Window-Size=8
02:25:18 l2tp,info first L2TP UDP packet received from 183.60.48.25
02:25:18 l2tp,debug tunnel 49 entering state: wait-ctl-conn
02:25:18 l2tp,debug,packet sent control message to 183.60.48.25:1785
02:25:18 l2tp,debug,packet tunnel-id=5, session-id=0, ns=0, nr=1
02:25:18 l2tp,debug,packet (M) Message-Type=SCCRP
02:25:18 l2tp,debug,packet (M) Protocol-Version=0x01:00
02:25:18 l2tp,debug,packet (M) Framing-Capabilities=0x1
02:25:18 l2tp,debug,packet (M) Bearer-Capabilities=0x0
02:25:18 l2tp,debug,packet Firmware-Revision=0x1
02:25:18 l2tp,debug,packet (M) Host-Name="MikroTik"
02:25:18 l2tp,debug,packet Vendor-Name="MikroTik"
02:25:18 l2tp,debug,packet (M) Assigned-Tunnel-ID=49
02:25:18 l2tp,debug,packet (M) Receive-Window-Size=4
02:25:19 l2tp,debug,packet sent control message to 183.60.48.25:1785
02:25:19 l2tp,debug,packet tunnel-id=5, session-id=0, ns=0, nr=1
02:25:19 l2tp,debug,packet (M) Message-Type=SCCRP
02:25:19 l2tp,debug,packet (M) Protocol-Version=0x01:00
02:25:19 l2tp,debug,packet (M) Framing-Capabilities=0x1
02:25:19 l2tp,debug,packet (M) Bearer-Capabilities=0x0
02:25:19 l2tp,debug,packet Firmware-Revision=0x1
02:25:19 l2tp,debug,packet (M) Host-Name="MikroTik"
02:25:19 l2tp,debug,packet Vendor-Name="MikroTik"
02:25:19 l2tp,debug,packet (M) Assigned-Tunnel-ID=49
02:25:19 l2tp,debug,packet (M) Receive-Window-Size=4
02:25:20 l2tp,debug,packet sent control message to 183.60.48.25:1785
02:25:20 l2tp,debug,packet tunnel-id=5, session-id=0, ns=0, nr=1
02:25:20 l2tp,debug,packet (M) Message-Type=SCCRP
02:25:20 l2tp,debug,packet (M) Protocol-Version=0x01:00
02:25:20 l2tp,debug,packet (M) Framing-Capabilities=0x1
02:25:20 l2tp,debug,packet (M) Bearer-Capabilities=0x0
02:25:20 l2tp,debug,packet Firmware-Revision=0x1
02:25:20 l2tp,debug,packet (M) Host-Name="MikroTik"
02:25:20 l2tp,debug,packet Vendor-Name="MikroTik"
02:25:20 l2tp,debug,packet (M) Assigned-Tunnel-ID=49
02:25:20 l2tp,debug,packet (M) Receive-Window-Size=4
02:25:22 l2tp,debug,packet sent control message to 183.60.48.25:1785
02:25:22 l2tp,debug,packet tunnel-id=5, session-id=0, ns=0, nr=1
02:25:22 l2tp,debug,packet (M) Message-Type=SCCRP
02:25:22 l2tp,debug,packet (M) Protocol-Version=0x01:00
02:25:22 l2tp,debug,packet (M) Framing-Capabilities=0x1
02:25:22 l2tp,debug,packet (M) Bearer-Capabilities=0x0
02:25:22 l2tp,debug,packet Firmware-Revision=0x1
02:25:22 l2tp,debug,packet (M) Host-Name="MikroTik"
02:25:22 l2tp,debug,packet Vendor-Name="MikroTik"
02:25:22 l2tp,debug,packet (M) Assigned-Tunnel-ID=49
02:25:22 l2tp,debug,packet (M) Receive-Window-Size=4
02:25:26 l2tp,debug,packet sent control message to 183.60.48.25:1785
02:25:26 l2tp,debug,packet tunnel-id=5, session-id=0, ns=0, nr=1
02:25:26 l2tp,debug,packet (M) Message-Type=SCCRP
02:25:26 l2tp,debug,packet (M) Protocol-Version=0x01:00
02:25:26 l2tp,debug,packet (M) Framing-Capabilities=0x1
02:25:26 l2tp,debug,packet (M) Bearer-Capabilities=0x0
02:25:26 l2tp,debug,packet Firmware-Revision=0x1
02:25:26 l2tp,debug,packet (M) Host-Name="MikroTik"
02:25:26 l2tp,debug,packet Vendor-Name="MikroTik"
02:25:26 l2tp,debug,packet (M) Assigned-Tunnel-ID=49
02:25:26 l2tp,debug,packet (M) Receive-Window-Size=4
02:25:34 l2tp,debug,packet sent control message to 183.60.48.25:1785
02:25:34 l2tp,debug,packet tunnel-id=5, session-id=0, ns=0, nr=1
02:25:34 l2tp,debug,packet (M) Message-Type=SCCRP
02:25:34 l2tp,debug,packet (M) Protocol-Version=0x01:00
02:25:34 l2tp,debug,packet (M) Framing-Capabilities=0x1
02:25:34 l2tp,debug,packet (M) Bearer-Capabilities=0x0
02:25:34 l2tp,debug,packet Firmware-Revision=0x1
02:25:34 l2tp,debug,packet (M) Host-Name="MikroTik"
02:25:34 l2tp,debug,packet Vendor-Name="MikroTik"
02:25:34 l2tp,debug,packet (M) Assigned-Tunnel-ID=49
02:25:34 l2tp,debug,packet (M) Receive-Window-Size=4
02:25:42 l2tp,debug tunnel 49 received no replies, disconnecting
02:25:42 l2tp,debug tunnel 49 entering state: dead

На протяжении дня ситуация повторяется меняются только IP и порты.
Не совсем понимаю, ломают или уже взломали?

Answer 1

[Антон]

ну сервис же наружу торчит - вот и стучатся

Comments

[Владимир Пазий]

Так это получается только стучатся, не подключены? Может в курсе какое правило можно сделать чтобы блочить таких товарищей?

[Антон]

/ip firewall filter add

chain=input action=drop protocol=udp src-address-list=l2tp_block dst-port=1701 log=no log-prefix=""

chain=input action=add-src-to-address-list connection-state=new protocol=udp src-address-list=l2tp_3 address-list=l2tp_block address-list-timeout=25w5d dst-port=1701 log=no log-prefix=""

chain=input action=add-src-to-address-list connection-state=new protocol=udp src-address-list=l2tp_2 address-list=l2tp_3 address-list-timeout=20s dst-port=1701 log=no log-prefix=""

chain=input action=add-src-to-address-list connection-state=new protocol=udp src-address-list=l2tp_1 address-list=l2tp_2 address-list-timeout=20s dst-port=1701 log=no log-prefix=""

chain=input action=add-src-to-address-list connection-state=new protocol=udp address-list=l2tp_1 address-list-timeout=20s dst-port=1701 log=no log-prefix=""

должно работать

[Владимир Пазий]

Антон: огромное спасибо за помощь!

[Антон]

ловит чужих?
а своих пускает?

[Антон]

свои после авторизации должны переходить в established, а со стороны - постоянно new, ибо не авторизовались на сервисе

[Антон]

в списках болтаются "стукачи"?

[Владимир Пазий]

Антон: не срабатывает( чужие так же стучатся. своих не проверял пока, вопрос отложен немного

[Антон]

они и будут стучаться, никуда они не денутся, просто их должно банить по айпи, чтобы больше не пускало на авторизацию - в файерволе во вкладке address lists - появляются списки l2tp_block, l2tp_1, l2tp_2, l2tp_3? если появляются - то хорошо

[Владимир Пазий]

нет, в списке не появляются, я видел лишь что по l2tp_1 проходило пару пакетов

Answer 2

[Александр M-stream]

позакрывай порты