В ходе подготовки к CCNA нужно было обжиться в консоли Cisco. Для этого я поднял EVE-NG в облаке гугла и развернул там тополгию для опытов с OSPF.
А чтобы моё время не прошло зря, решил описать эти лабы и выложить топологию сетей. Заодно переделал эти лабы под Mikrotik RouterOS.
Лабы по ссылке. Пользуйтесь!
Показаны сообщения с ярлыком routeros. Показать все сообщения
Показаны сообщения с ярлыком routeros. Показать все сообщения
18.08.2019
29.03.2018
Разрушаю панику вокруг безопасности Mikrotik RouterOS
В последнее время мы часто слышим о ботнетах, использующих RouterOS. И это даже хорошо, ведь говорит о том, что платформа настолько развилась, что представляет интерес для широкой аудитории, а соответственно и хакерам. А значит, что специалисты по Mikrotik будут в цене!
Но хватит лирики. Спешу развеять ваши опасения об опасности использования RouterOS. Ботнет Hajime заражает RouterOS. Отсюда и паника, поднятая в Интернете. Но, если прочитать чуть внимательнее, то заражает он версии RouterOS ниже 6.38.5 (или 6.37.5 в bugfix ветке). А значит, что если вы обновляли свою RouterOS хотя бы раз в течение последних 12 месяцев, то вы в безопасности!
Как работает Hajime:
1. Сканированием портов обнаруживаем RouterOS по открытому tcp 8291
2. Уязвимость в web сервере webfig'a, значит через tcp 80 заражаем его
Отсюда выводы:
ВЫ В БЕЗОПАСНОСТИ, если выполнили хотя бы одно действие из списка:
1. Обновлялись в последние 12 месяцев и версия RouterOS у вас 6.38.5 (6.37.5 для bugfix) или выше. Сейчас актуальная 6.41.3 (6.40.6 bugfix)
2. У вас отключен web сервер: ip - service - www
3. Настроен фаервол. А именно доступ к tcp 80 из недоверенных сетей
4. Отключен webfig. То есть на 80 порту работает веб-фронтенд для прокси, User Manager'a или хотспота
5. У вас переназначен порт WinBox'a на нестандартный (не 8291). В этом случае вы защищены только от сканирования, на www сервис все равно под ударом
6. У вас отключен сервис WinBox. В этом случае вы защищены только от сканирования, на www сервис все равно под ударом
7. В ip - service указаны IP адреса, с которых можно подключаться к этим сервисам
Не забывайте, что заразиться можно не только из Интернета, но и из доверенной сети LAN, если кто-то внутри уже подхватил заразу.
Как видите, все беды опять идут от раздолбайства. Своевременно обновляйте ПО, настраивайте фаерволы, устанавливайте доверенные сети и не будете знать проблем. Оригинал материала на форуме
Как обезопасить свой Mikrotik мы подробно рассматриваем на курсе MTCNA. Приходите и узнайте как не попасться на удочку хакеров.
Но хватит лирики. Спешу развеять ваши опасения об опасности использования RouterOS. Ботнет Hajime заражает RouterOS. Отсюда и паника, поднятая в Интернете. Но, если прочитать чуть внимательнее, то заражает он версии RouterOS ниже 6.38.5 (или 6.37.5 в bugfix ветке). А значит, что если вы обновляли свою RouterOS хотя бы раз в течение последних 12 месяцев, то вы в безопасности!
Как работает Hajime:
1. Сканированием портов обнаруживаем RouterOS по открытому tcp 8291
2. Уязвимость в web сервере webfig'a, значит через tcp 80 заражаем его
Отсюда выводы:
ВЫ В БЕЗОПАСНОСТИ, если выполнили хотя бы одно действие из списка:
1. Обновлялись в последние 12 месяцев и версия RouterOS у вас 6.38.5 (6.37.5 для bugfix) или выше. Сейчас актуальная 6.41.3 (6.40.6 bugfix)
2. У вас отключен web сервер: ip - service - www
3. Настроен фаервол. А именно доступ к tcp 80 из недоверенных сетей
4. Отключен webfig. То есть на 80 порту работает веб-фронтенд для прокси, User Manager'a или хотспота
5. У вас переназначен порт WinBox'a на нестандартный (не 8291). В этом случае вы защищены только от сканирования, на www сервис все равно под ударом
6. У вас отключен сервис WinBox. В этом случае вы защищены только от сканирования, на www сервис все равно под ударом
7. В ip - service указаны IP адреса, с которых можно подключаться к этим сервисам
Не забывайте, что заразиться можно не только из Интернета, но и из доверенной сети LAN, если кто-то внутри уже подхватил заразу.
Как видите, все беды опять идут от раздолбайства. Своевременно обновляйте ПО, настраивайте фаерволы, устанавливайте доверенные сети и не будете знать проблем. Оригинал материала на форуме
Как обезопасить свой Mikrotik мы подробно рассматриваем на курсе MTCNA. Приходите и узнайте как не попасться на удочку хакеров.
21.12.2017
Проверка пропускной способности канала на Mikrotik
Скрипт для Mikrotik RouterOS, тестирующий пропускную способность канала и записывающий результат в файл. Перед запуском создать файл isp-quality.txt и указать IP своего btest сервера в ipbandswtestserver
https://github.com/devi1/RouterOS-scripts/tree/master/bandwidth%20test
:local txAvg 0
:local rxAvg 0
:local ipbandswtestserver your.btest.server.ip
:local btuser btest
:local btpwd btest
:local ts [/system clock get time]
:local ContentsFile [/file get isp-quality.txt contents]
:local ds [/system clock get date]
:set ts ([:pick $ts 0 2].[:pick $ts 3 5].[:pick $ts 6 8])
:set ds ([:pick $ds 7 11].[:pick $ds 0 3].[:pick $ds 4 6])
tool bandwidth-test protocol=tcp direction=transmit address=$ipbandswtestserver duration=5s do={
:set txAvg ($"tx-total-average" / 1048576 );
}
tool bandwidth-test protocol=tcp direction=receive address=$ipbandswtestserver duration=5s do={
:set rxAvg ($"rx-total-average" / 1048576 );
}
/file set isp-quality.txt contents="$ContentsFile\n$ds-$ts tx: $txAvg Mbps - rx: $rxAvg Mbps"
https://github.com/devi1/RouterOS-scripts/tree/master/bandwidth%20test
:local txAvg 0
:local rxAvg 0
:local ipbandswtestserver your.btest.server.ip
:local btuser btest
:local btpwd btest
:local ts [/system clock get time]
:local ContentsFile [/file get isp-quality.txt contents]
:local ds [/system clock get date]
:set ts ([:pick $ts 0 2].[:pick $ts 3 5].[:pick $ts 6 8])
:set ds ([:pick $ds 7 11].[:pick $ds 0 3].[:pick $ds 4 6])
tool bandwidth-test protocol=tcp direction=transmit address=$ipbandswtestserver duration=5s do={
:set txAvg ($"tx-total-average" / 1048576 );
}
tool bandwidth-test protocol=tcp direction=receive address=$ipbandswtestserver duration=5s do={
:set rxAvg ($"rx-total-average" / 1048576 );
}
/file set isp-quality.txt contents="$ContentsFile\n$ds-$ts tx: $txAvg Mbps - rx: $rxAvg Mbps"
20.11.2017
Мikrotik RouterOS Configuration Management с помощью скриптов и какой-то там матери
Жизненный цикл сети часто переживает закономерный рост. В это время начинают появляться десятки и сотни устройств, конфигурация которых однотипна. Например, это могут быть маршрутизаторы в филиалах, которые имеют одинаковые настройки и отличаются только IP адресами, паролями на VPN и Wi-Fi. Внесение даже незначительных изменений на десяток устройств потребует значительного времени и концентрации.
Для управления сотнями и тысячами устройств весь цивилизованный мир уже давно использует специальные системы менеджмента конфигураций: Ansible, Chef, Puppet. Каждая из них имеет свои плюсы и минусы.
Но для десяти-двадцати устройств не каждый захочет выделять отдельный сервер с такой системой. Поэтому в ход идут скрипты, SSH, FTP и куча матов, когда всё это поделие роняет сразу все филиалы.
Видео для привлечения внимания
Это визуализация запросов от роутеров к системе, о которой идет речь в этом посте.
Для управления сотнями и тысячами устройств весь цивилизованный мир уже давно использует специальные системы менеджмента конфигураций: Ansible, Chef, Puppet. Каждая из них имеет свои плюсы и минусы.
Но для десяти-двадцати устройств не каждый захочет выделять отдельный сервер с такой системой. Поэтому в ход идут скрипты, SSH, FTP и куча матов, когда всё это поделие роняет сразу все филиалы.
Видео для привлечения внимания
Это визуализация запросов от роутеров к системе, о которой идет речь в этом посте.
18.07.2017
DHCP Failover with RouterOS
DHCP сервер - одна из наиболее критичных служб сетевой инфраструктуры. Он обычно прост в настройке и не привлекает к себе внимание до того момента пока в сети не начинаются непонятные моменты: машины не получают адреса или получают, но совсем не те, которые хотел бы администратор. Вследствие чего сеть просто перестает работать.
В этой статье попробуем создать отказоустойчивый DHCP сервер на Mikrotik RouterOS.
Для понимания работы системы системы нужно сначала понять принцип работы самого протокола. Тем, кто и так это знает, следующий пункт можно не читать.
Принцип работы протокола DHCP
При включении хоста, его DHCP клиент производит broadcast рассылку DHCPDISCOVER на адрес 255.255.255.255, в которой указывает свой MAC адрес в качестве адреса отправителя. В ней хост пытается найти DHCP сервер в своем сегменте. Этот пакет долетит до всех хостов в сети.
Здесь нас интересует поле Client MAC Address. Именно ему будет отвечать сервер.
15.05.2017
19.03.2017
Резервирование каналов передачи данных с использованием различных типов L2 VPN
Презентация Ильи Князева с MUMа в Новосибирске. Много полезной информации о туннелях.
01.02.2017
16.11.2016
PHP IPAM. Импорт из Excel
IP Address Management (сокращенно IPAM) – средство планирования, отслеживания и управления IP адресами в сети (via).
В больших сетях отследить все используемые адреса и приготовиться к их изменению или внедрению новых – большая, трудновыполнимая задача. База данных IP адресов у многих ведется в различных табличка (Google Docs, Excel), у остальных не ведется совсем.
При изменениях в сети оперировать информацией из этих мест становится все сложнее и документы быстро теряют свою актуальность.
В больших сетях отследить все используемые адреса и приготовиться к их изменению или внедрению новых – большая, трудновыполнимая задача. База данных IP адресов у многих ведется в различных табличка (Google Docs, Excel), у остальных не ведется совсем.
При изменениях в сети оперировать информацией из этих мест становится все сложнее и документы быстро теряют свою актуальность.
Именно поэтому было решено развернуть сервер управления IP адресами в нашей сети. После мук выбора я остановился на PHP IPAM - он показался мне наиболее дружелюбным и функциональным, к тому же имеет API для взаимодействия с внешними системами.
Посмотреть на демо это системы можно тут
10.11.2016
10.10.2016
IPSec over L2TP между RouterOS и Apple iOS 10
В 10 версии iOS команда Apple наконец-то выпилила PPTP, чем сподвигла весь (не)цивилизованный ИТ-мир срочно учиться поднимать IPSec на своих бордерах. В том числе и меня.
"Поднять IPSec - что там сложного" - подумал я. Но не тут то было. По мануалам, хабрам и прочим ресурсам все отлично поднимается и работает между двумя микротиками, между микротиком и виндой, между микротиком и андроид. Но вот с iOS 10 ни в какую не хочет. Путем долгих ковыряний и трехэтажных словосочетаний, выяснил, что изменения для IPSec нужно применять в КОНСОЛИ! Не в графическом интерфейсе, а именно в консоли - ssh или встроенная в WinBox - без разницы. Но факт в том, что идентичные настройки в WinBox не позволяли поднять VPN между Mikrotik RouterOS и IPhone (по крайней мере в моем случае с RB751 на RouterOS 6.37.1 в связке с IPhone 6).
"Поднять IPSec - что там сложного" - подумал я. Но не тут то было. По мануалам, хабрам и прочим ресурсам все отлично поднимается и работает между двумя микротиками, между микротиком и виндой, между микротиком и андроид. Но вот с iOS 10 ни в какую не хочет. Путем долгих ковыряний и трехэтажных словосочетаний, выяснил, что изменения для IPSec нужно применять в КОНСОЛИ! Не в графическом интерфейсе, а именно в консоли - ssh или встроенная в WinBox - без разницы. Но факт в том, что идентичные настройки в WinBox не позволяли поднять VPN между Mikrotik RouterOS и IPhone (по крайней мере в моем случае с RB751 на RouterOS 6.37.1 в связке с IPhone 6).
16.03.2016
Маршрутизация. OSPF в Mikrotik RouterOS
По Вики: OSPF(англ. Open Shortest Path First) — протокол динамической маршрутизации, основанный на технологии отслеживания состояния канала (link-state technology) и использующий для нахождения кратчайшего пути алгоритм Дейкстры.
Для чего нужен OSPF и как применять его на сетях, построенных на Mikrotik RouterOS, мы и рассмотрим в этой статье.
14.03.2016
17.01.2016
Почему за EoIP over OpenVPN нужно отрубать руки. И почему обе.
У роутерной ОС RouterOS (каламбур получился =)) есть уникальная возможность создавать Ethernet туннели между удаленными точками. Технология проприентарная и никем больше не реализованная (такой же результат можно получить с помощью VPLS, но это совсем другой уровень). Функция интересная и даже рабочая. С помощью неё мы можем соединить несколько удаленных точек в один широковещательный домен с одним DHCP сервером и связью на L2.
13.01.2016
22.12.2015
Сегментация сети с использованием оборудования Mikrotik и D-Link
Рост компании - неминуемый процесс, рано или поздно приходящий ко всем. Увеличение количества клиентов, открытие новых отделов, слияния, поглощения - всё это увеличивает количество компьютеров, принтеров и других устройств в сети.
С количеством устройств в сети приближающемся к ста, сетевой администратор начинает испытывать проблемы с идентификацией потоков трафика, адресацией устройств, безопасностью сети, количеством широковещательного трафика (особенно если сеть состоит из Windows машин, что сегодня является стандартом).
Перечисленные проблемы решаются сегментацией сети. Сегментация - разбиение одной локальной сети на сегменты, каждый сегмент имеет свой адрес сети и свой шлюз по умолчанию (физически это может быть одно устройство). Практически сегментировав сеть мы получаем несколько сетей из одной, как если бы использовали несколько коммутаторов для каждой группы устройств.
09.12.2015
Yet another RouterOS script
Скрипт ищет интерфейс sstp клиента, имя которого содержит в себе строку video, копирует имя интерфейса, имя пользователя и пароль для подключения, а так же адрес vpn сервера. Удаляет упоминание об этом интерфейсе в настройках OSPF (т.к. после удаления появится интерфейс unknown, а без удаления интерфейса новый не создастся - имена одинаковые), создает нешифрованное соединение pptp с аналогичными настройками и вписывает его в параметры OSPF.
#!Ищет sstp-интерфейс с именем, содержащим video
#! копирует его настройки, убирает номер порта и
#! создает pptp интерфейс с подобными настройками
#! Copyright Dmitry Bubnov http://bubnovd.net
/interface sstp-client
:local name [get [find name~"video"] name]
:local srv [get [find name~"video"] connect-to]
:local conto [:pick $srv 0 ([:len $srv]-4)]
:local user [get [find name~"video"] user]
:local pwd [get [find name~"video"] password]
/routing ospf interface remove [find interface=$name]
remove $name
/interface pptp-client add connect-to=$conto user=$user password=$pwd name=$name allow=mschap2 disabled=no profile=default
/routing ospf interface add interface=$name cost=9 network-type=point-to-point
#!Ищет sstp-интерфейс с именем, содержащим video
#! копирует его настройки, убирает номер порта и
#! создает pptp интерфейс с подобными настройками
#! Copyright Dmitry Bubnov http://bubnovd.net
/interface sstp-client
:local name [get [find name~"video"] name]
:local srv [get [find name~"video"] connect-to]
:local conto [:pick $srv 0 ([:len $srv]-4)]
:local user [get [find name~"video"] user]
:local pwd [get [find name~"video"] password]
/routing ospf interface remove [find interface=$name]
remove $name
/interface pptp-client add connect-to=$conto user=$user password=$pwd name=$name allow=mschap2 disabled=no profile=default
/routing ospf interface add interface=$name cost=9 network-type=point-to-point
Подписаться на:
Сообщения (Atom)