Защита порта от брутфорса (как создать WhiteList)
Добавлено: 28 сен 2020, 13:17
Приветствую.
RB750GR 6.47.2
Стоит задача защитить от перебора ресурсы находящиеся за микротиком. В конкретном примере проброшен RDP (3389) через NAT (dstnat)
Нашел в интернет пример фильтров
Всё работает, брутфорсеры отсекаются НО нужен и список доверенных ip адресов т.к. есть подразделения которые массово цепляются в терминальным серверам на которых и работают и вот эти вот дружественные адреса так же попадают с список брутфорсеров.
Вопрос: если я перед этим списком фильтров поставлю первым вот такой фильтр и создам вручную адрес WhiteList будет ли это работать корректно ?
C Микротиками только начинаю знакомиться, а задачи не хотят терпеть пока вникну
RB750GR 6.47.2
Стоит задача защитить от перебора ресурсы находящиеся за микротиком. В конкретном примере проброшен RDP (3389) через NAT (dstnat)
Нашел в интернет пример фильтров
Код: Выделить всё
/ip firewall filter
add action=jump chain=forward connection-state=new dst-port=3389 jump-target=check-bruteforce protocol=tcp
add action=jump chain=forward connection-state=new dst-port=3389 jump-target=check-bruteforce protocol=udp
/ip firewall filter add action=drop chain=forward comment=Drop-Bruteforcers connection-state=new src-address-list=bruteforcer
/ip firewall filter
add action=add-src-to-address-list address-list=bruteforcer address-list-timeout=10m chain=check-bruteforce \
src-address-list=bruteforce-stage-5
add action=add-src-to-address-list address-list=bruteforce-stage-5 address-list-timeout=1m chain=check-bruteforce \
src-address-list=bruteforce-stage-4
add action=add-src-to-address-list address-list=bruteforce-stage-4 address-list-timeout=1m chain=check-bruteforce \
src-address-list=bruteforce-stage-3
add action=add-src-to-address-list address-list=bruteforce-stage-3 address-list-timeout=1m chain=check-bruteforce \
src-address-list=bruteforce-stage-2
add action=add-src-to-address-list address-list=bruteforce-stage-2 address-list-timeout=1m chain=check-bruteforce \
src-address-list=bruteforce-stage-1
add action=add-src-to-address-list address-list=bruteforce-stage-1 address-list-timeout=1m chain=check-bruteforceВсё работает, брутфорсеры отсекаются НО нужен и список доверенных ip адресов т.к. есть подразделения которые массово цепляются в терминальным серверам на которых и работают и вот эти вот дружественные адреса так же попадают с список брутфорсеров.
Вопрос: если я перед этим списком фильтров поставлю первым вот такой фильтр и создам вручную адрес WhiteList будет ли это работать корректно ?
Код: Выделить всё
/ip firewall filter
add action=accept chain=forward connection-state=new dst-port=3389 src-address-list=WhiteList protocol=tcp
add action=accept chain=forward connection-state=new dst-port=3389 src-address-list=WhiteList protocol=udpC Микротиками только начинаю знакомиться, а задачи не хотят терпеть пока вникну