Страница 1 из 2

Re: Drop port scanners

Добавлено: 23 дек 2018, 16:50
chas99
Так как есть открытые порты, то не хочется, чтобы зловреды занимались подбором паролей на сервере...

Re: Drop port scanners

Добавлено: 23 дек 2018, 17:02
chas99
На сколько я понимаю, зловреды сначала сканируют все порты, а уже после того как определяют какие порты "отвечают", начинают атаки на эти открытые порты...
Поэтому я подумал, что если дать отбой сканерам портов, то снизиться вероятность взлома RDP, да и нагрузка на сам сервер, как то так :)

Re: Drop port scanners

Добавлено: 23 дек 2018, 20:52
Chupaka
Проще всё же непосредственно закрыть порт каким-нибудь PortKnocking'ом.

Также PSD можно реализовать непосредственно в правилах NAT, которые будут сканеры заносить в Address-List, затем ниже делать Accept для сканеров - и уже потом пробрасывать порты для более легитимных пользователей, например.

Re: Drop port scanners

Добавлено: 24 дек 2018, 05:58
chas99
Chupaka писал(а): 23 дек 2018, 20:52 Также PSD можно реализовать непосредственно в правилах NAT, которые будут сканеры заносить в Address-List, затем ниже делать Accept для сканеров - и уже потом пробрасывать порты для более легитимных пользователей, например.
такое правило ?
chain=dstnat action=add-src-to-address-list protocol=tcp psd=21,3s,3,1 address-list=block_rdp address-list-timeout=10m in-interface=interne>
dst-port="" log=no log-prefix=""
затем ниже делать Accept для сканеров
это не понял, зачем Accept для сканеров ?

Re: Drop port scanners

Добавлено: 24 дек 2018, 15:08
Chupaka
Да, типа такого.

Accept для того, чтобы прервать обработку правил dstnat. Альтернатива — в каждом правиле проброса дописать src-address-list=!block_rdp. При большом количестве пробросов неудобно и путь к дальнейшей путанице :)

Re: Drop port scanners

Добавлено: 26 дек 2018, 15:22
chas99
Chupaka писал(а): 24 дек 2018, 15:08 При большом количестве пробросов неудобно и путь к дальнейшей путанице :)
а чем плохо использовать использовать Src.Address List ?
по моему вполне наглядно :)
Screenshot_1.jpg
Screenshot_1.jpg (101.56 КБ) 3229 просмотров

Re: Drop port scanners

Добавлено: 26 дек 2018, 16:23
Chupaka
Да, именно такого я стараюсь избегать без надобности =)

Re: Drop port scanners

Добавлено: 26 дек 2018, 16:49
chas99
Вы рекомендуете в NAT делать только "проброс порта", а уже в Filter Rules обрабатывать (фильтровать) так ?
а чем кроме красивости/наглядности в NAT этот прием лучше?

Re: Drop port scanners

Добавлено: 26 дек 2018, 17:30
Chupaka
Просто красивость/наглядность. Которая потом не даст повода где-нибудь недосмотреть и ошибиться.

Про рекомендации не совсем понял... Я рекомендую "пробрасывать" только легитимные источники, а block_rdp не пробрасывать, чтобы они приземлились в input, а не forward. Где их и заблокировать окончательно, например.

Re: Drop port scanners

Добавлено: 27 дек 2018, 10:43
chas99
Chupaka писал(а): 26 дек 2018, 17:30
Я рекомендую "пробрасывать" только легитимные источники, а block_rdp не пробрасывать, чтобы они приземлились в input, а не forward. Где их и заблокировать окончательно, например.
Что-то я запутался, подскажите, плиз, а как из forward переделать в input ?

а можете поделиться как вы делаете проброс порта с блокировкой "левых" ?

Re: Drop port scanners

Добавлено: 27 дек 2018, 11:04
Chupaka
chas99 писал(а): 27 дек 2018, 10:43 Что-то я запутался, подскажите, плиз, а как из forward переделать в input ?
Не переделать, а оставить. Нет DST-NAT - пакет уйдёт в input.
chas99 писал(а): 27 дек 2018, 10:43 а можете поделиться как вы делаете проброс порта с блокировкой "левых" ?
Никак, у меня такой необходимости нет. Я лишь говорю, что добавить accept-правило в NAT для block_rdp - и из всех правил можно убрать этот параметр, что сделает конфиг чище. Чем меньше дополнительных параметров - тем сложнее запутаться в них :)

Re: Drop port scanners

Добавлено: 27 дек 2018, 11:14
chas99
так ?
в самом начале списка NAT
chain=dstnat action=accept protocol=tcp src-address-list=block_rdp in-interface=internet log=no log-prefix=""

Re: Drop port scanners

Добавлено: 27 дек 2018, 11:29
Chupaka
Да я бы уже все протоколы accept'ил от этих злодеев. Зачем только tcp? :)

Re: Drop port scanners

Добавлено: 27 дек 2018, 11:41
chas99
а в Filter Rules, в самый верх добавить
chain=input action=drop protocol=tcp src-address-list=block_rdp in-interface=internet log=no log-prefix=""

Re: Drop port scanners

Добавлено: 27 дек 2018, 11:52
chas99
итого в NAT добавить эти правила, первое будет пакеты от "block_rdp" отправлять в input Filter Rules для дальнейшей блокировки, а второе будет заносить адреса в "block_rdp" тех кто будет подпадать под PSD

chain=dstnat action=accept protocol=tcp src-address-list=block_rdp in-interface=internet log=no log-prefix=""
chain=dstnat action=add-src-to-address-list protocol=tcp psd=21,3s,3,1 address-list=block_rdp address-list-timeout=10m in-interface=interne>
dst-port="" log=no log-prefix=""

Re: Drop port scanners

Добавлено: 27 дек 2018, 13:28
Chupaka
Ну, строго говоря, оно не будет отправлять, пакеты сами туда попадут, т.к. идут на адрес роутера - и их никто не перенаправляет.

Ну и я бы правила NAT добавил в обратном порядке, чтобы если второе правило "нашло" хулигана - первое бы тут же сработало на него, не дожидаясь следующего соединения.

Re: Drop port scanners

Добавлено: 27 дек 2018, 15:26
chas99
Спасибо!

Re: Drop port scanners

Добавлено: 28 дек 2018, 03:14
chas99
Chupaka писал(а): 27 дек 2018, 13:28 Ну и я бы правила NAT добавил в обратном порядке, чтобы если второе правило "нашло" хулигана - первое бы тут же сработало на него, не дожидаясь следующего соединения.
я тут подумал :oops:
насчет порядка правил... если Accept будет вторым правилом (как предлагаете вы), и если хулиган будет сканировать, то первое правило всегда будет в работе и занимать ресурсы роутера (или не обращать на это внимание?)..

Re: Drop port scanners

Добавлено: 28 дек 2018, 12:35
Chupaka
Если PSD будет занимать хоть сколь-нибудь значительное количество ресурсов - есть мнение, что тогда непосредственно само сканирование будет наименьшим из имеющихся зол :)