​​Дефолтная конфигурация брандмауэра Mikrotik для IPv6

Некоторые коллеги уже неоднократно спрашивали нас, а не сохранилось ли у нас дефолтного набора правил брандмауэра для IPv6.

Причина проста – сначала сбросили устройство, а потом подумали. Хотя всегда полезно сохранять исходную конфигурацию, хотя бы для посмотреть.

Поэтому сегодня мы решили выложить свежий набор правил от hAP AX2. Он состоит из двух частей. Первый – список IPv6 адресов, которые не должны подлежать маршрутизации:

/ipv6 firewall address-list
add address=::/128 comment="defconf: unspecified address" list=bad_ipv6
add address=::1/128 comment="defconf: lo" list=bad_ipv6
add address=fec0::/10 comment="defconf: site-local" list=bad_ipv6
add address=::ffff:0.0.0.0/96 comment="defconf: ipv4-mapped" list=bad_ipv6
add address=::/96 comment="defconf: ipv4 compat" list=bad_ipv6
add address=100::/64 comment="defconf: discard only " list=bad_ipv6
add address=2001:db8::/32 comment="defconf: documentation" list=bad_ipv6
add address=2001:10::/28 comment="defconf: ORCHID" list=bad_ipv6
add address=3ffe::/16 comment="defconf: 6bone" list=bad_ipv6

И собственно правила брандмауэра:

/ipv6 firewall filter
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid
add action=accept chain=input comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=input comment="defconf: accept UDP traceroute" port=33434-33534 protocol=udp
add action=accept chain=input comment="defconf: accept DHCPv6-Client prefix delegation." dst-port=546 protocol=udp src-address=fe80::/10
add action=accept chain=input comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=input comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=input comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=input comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=input comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

add action=accept chain=forward comment="defconf: accept established,related,untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop packets with bad src ipv6" src-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: drop packets with bad dst ipv6" dst-address-list=bad_ipv6
add action=drop chain=forward comment="defconf: rfc4890 drop hop-limit=1" hop-limit=equal:1 protocol=icmpv6
add action=accept chain=forward comment="defconf: accept ICMPv6" protocol=icmpv6
add action=accept chain=forward comment="defconf: accept HIP" protocol=139
add action=accept chain=forward comment="defconf: accept IKE" dst-port=500,4500 protocol=udp
add action=accept chain=forward comment="defconf: accept ipsec AH" protocol=ipsec-ah
add action=accept chain=forward comment="defconf: accept ipsec ESP" protocol=ipsec-esp
add action=accept chain=forward comment="defconf: accept all that matches ipsec policy" ipsec-policy=in,ipsec
add action=drop chain=forward comment="defconf: drop everything else not coming from LAN" in-interface-list=!LAN

В целом их можно упростить, так как они, кроме базового набора правил, содержат еще разрешающие правила для IPsec, если они не нужны – можете смело убрать.

​​Повышаем безопасность небольших сетей при помощи Mikrotik

Сегодня в комментариях читатель столкнулся с типовой проблемой – после того как он настроил ограничения хитрые пользователи поменяли MAC-адрес сетевой карты, получили новый IP и обошли фильтры.

Здесь можно принять умный вид, и долго и напутственно рассказывать, что у пользователей не должно быть прав администратора и т.д., и т.п. Но по факту мы часто имеем то, что имеем и надо с этим как-то жить.

Начнем с того, что если вы вводите какие-то запреты и ограничения, то они должны применяться самым широким образом, даже если затрагивают узкую группу лиц.

Т.е. неправильно запретить вот этим десяти адресам и разрешить всем остальным, это легко обходится именно сменой адреса.

Правильно разрешить тем, кому нужно, а всем остальным запретить. В этом случае смена адреса не сильно и поможет.

Но остается ненулевая вероятность подобрать адрес из разрешенного диапазона и выйти под ним в тот момент, когда устройство с таким адресом выключено или отсутствует в сети.

Поэтому, располагая роутером Mikrotik, лучше уделить немного больше времени настройкам и существенно повысить безопасность сети.

Данный метод описан нами в статье: Используем режим ARP reply-only для повышения безопасности сети на оборудовании Mikrotik.

В этом случае роутер будет взаимодействовать на канальном уровне (L2) только с теми устройствами, которые явно укажет администратор. Остальные не смогут получить сетевой адрес по DHCP и не поможет даже ручное указание сетевых настроек.

Данный способ не является панацеей, но способен серьезным образом усложнить жизнь различным сетевым умельцам (которым для начала еще придется понять что именно происходит).

​​Видео или текст?

Сегодня начали разбираться с одной отраслевой конфигурацией. Основные вопросы решили относительно быстро, а вот на некоторых тонкостях серьезно застопорились.

Как это обычно бывает, документация в комплекте поставки оказалась устаревшей и этих моментов там не оказалось вообще.

Плюс заказчику требовались новые функции, которые были заявлены во всех маркетинговых материалах, но полностью забыты в документации, а сама их настройка в программе оказалась делом неочевидным.

Ну да ладно, у нас есть поддержка и три месяца бесплатно, сейчас накидаем им вопросы.

В ответ нам прислали две ссылки на вебинары общей продолжительностью 4 часа! За это время можно досконально изучить любую печатную инструкцию и успеть ее несколько раз опробовать.

Даже в режиме быстрой перемотки на поиск интересующей нас информации ушло около двух часов. Потом еще где-то час на поиск уточняющих моментов и общее понимание всей структуры решения.

И, скажем честно, это тяжело и долго. Потому что читать книгу «по диагонали» - это одно, смотреть видео на перемотке – совсем другое. Постоянно теряется контекст и приходится снова и снова отматывать назад, и тратить свое время на пространные объяснения лектора.

Что это? Лень написать документацию? Или современное поколение разучилось читать, и разработчики идут у него на поводу?

Причем это не единичный случай, все чаще и чаще при поиске информации выясняется, что нет нормальных текстовых вариантов, зато есть достаточно большое количество видеороликов.

А как обстоит дело с этим вопросом у вас?

​​Балансировка и резервирование каналов на Mikrotik

Достаточно популярная, но в тоже время сложная тема, особенно в той части что касается балансировки. Поэтому вместе со ссылками на соответствующие материалы мы дадим некоторые комментарии.

Начнем с того, что балансировка и резервирование каналов – разные вещи. Настолько разные, что практически нигде не пересекаются и решают различные задачи.

Можно ли их совмещать? Можно, даже нужно, но всегда следует понимать, что это две разных настройки, решающих два разных вопроса.

Начнем с резервирования, это более простая задача и основное ее назначение переключить канал с основного на резервный в случае отказа одного из провайдеров.

Методы решения этой задачи также могут быть различными, от простых, до сложных. Ознакомиться вы с ними можете в нашей статье:

🔹 Mikrotik и несколько провайдеров. Резервирование каналов

Из всех описанных в статье методов мы предпочитаем резервирование на основе рекурсивной маршрутизации. Сама схема достаточно сложная и использует многие неочевидные вещи, поэтому мы посвятили ей отдельную статью:

🔹 Резервирование каналов в Mikrotik при помощи рекурсивной маршрутизации

А вообще мы советуем начать свое знакомство с темой именно с нее, так как в ней дана большая теоретическая часть, которая будет однозначна полезна вне зависимости от того, какой именно метод резервирования или балансировки вы выберете.

А еще в этой статье описано как быть если провайдер выдает вам динамический белый IP-адрес через PPPoE или DHCP, это пригодится вам при любом методе резервирования или балансировки.

Балансировка куда более непростая задача, нежели резервирование. Почему? Потому что любая балансировка строится на базе соединений, именно соединений, а не пакетов. Поэтому от вас требуется обеспечить, чтобы все пакеты одного соединения всегда уходили через один и тот же канал.

Затем добавляются внешние подключения, если кто-то соединяется с нами извне по одному из каналов, то и ответ он должен получить также через него.

Все это, включая правильную маркировку трафика есть в нашей статье:

🔹 Mikrotik и несколько провайдеров. Балансировка каналов

Она посвящена только балансировке и очень много внимания в ней уделено маркировке и маршрутизации, это два базиса без которых к этому вопросу лучше не подходить.

Почему мы заостряем на этом внимание? Да потому что в большинстве статей все это свалено в одну кучу и все обычно сводится к набору некоторых заклинаний, которые нужно ввести в консоль дабы получить желаемое.

В большинстве случаев это работает, но не дает практических навыков настройки данной схемы, а что еще хуже – не дает понимания ее функционирования, что может привести к серьезным затруднениям при возникновении неполадок.

​​И снова про белок и колеса…

Этот поучительный случай произошел на неделе, но мы решили оставить его до выходных.

Позвонили нам из одной незнакомой нам организации и пожаловались, что от них ушел администратор и они буквально «осиротели».

Начинаем разбираться что почем. Фирма небольшая, десяток ПК, два принтера, сервер. Админ работал на полставки за 25 тыс. руб. Приходил на полдня, решал насущные проблемы, остальное время был удаленно или на телефоне.

А чего, спрашиваем, ушел?

Отвечают, как нам показалось, с затаенной обидой: нашел работу лучше на полный рабочий день.

Ну так договоритесь с ним, - предлагаю, - пусть он вам по удаленке помогает, тут на месте то делать, наверное, особо нечего.

И вот тут уже обида включилась по полной. Мол отказался он, сказал, что на нас у него нет времени, а ведь мы его прямо после института взяли, можно сказать подобрали, обогрели в люди вывели…

И делать у нас всегда есть чего, у нас иногда компьютеры тормозят, иногда сеть барахлит, принтеры тоже бывает бумагу заедают. И вообще надо чтобы кто-то помогал нам, вот на той неделе у нас табличка пропала из общей папки.

Разговаривая дальше, стало понятно, что нужен им не системный администратор, а некий широкого профиля компьютерный нянька, чтобы и застрявшую бумагу вытаскивал и пропавшие файлы искал и сопли пользователям вытирал.

Понимая, что это очевидно не наш клиент, пробуем предложить свои услуги. Мол давайте сначала сделаем аудит, посмотрим, что у вас вообще есть, что может быть источником проблем. Приведем в порядок инфраструктуру, поможем наладить рабочие процессы и большинство ваших проблем рассосется само собой.

После некоторого молчания с той стороны трубки последовал ответ: вы знаете, но нам ничего этого не надо, у нас и так все нормально работает, нам нужен человек на полставки, чтобы приходил и помогал нам.

В общем разошлись мы каждый в свою сторону, прекрасно поняв, что не подходим друг другу.

Но мы задумались о другом, что сколько вокруг таких организаций, у которых в принципе все работает и им надо, чтобы просто кто-то приходил им «помогал».

Причем их достаточно много как в мелком бизнесе, так и в бюджетной сфере.

Попадая в такую организацию, специалист становится на путь деградации, потому что занимается всем чем угодно, но не своей прямой деятельностью. А именно постоянно решает мелкие инфраструктурные проблемы и утирает сопли пользователям.

Да и полставки в таких местах весьма условны, потому как кроме полдня в офисе остается требование помогать если что удаленно и быть доступным на телефоне, т.е. фактически полный рабочий день, а местами порой и ненормированный, как это часто обстоит у самых маленьких.

Год-два в таком темпе и можно будет не только забыть о развитии, а и начать терять уже имеющиеся навыки. При этом перспектив там и вдалеке не просматривается, потому что время от времени подвисающие компьютеры, глючная сеть и т.д. и т.п. представляются там чем-то нормальным.

А чего? Работает ведь? А если что – у нас есть мальчик, сейчас свистнем, прибежит, починит.

Попадать в такие места можно только либо от лютой безысходности, либо после института, когда просто нужен какой-то стаж и возможность заработать хоть какую-то копейку и постепенно подыскать себе нормальную работу.

А сталкивались ли вы с подобными организациями? Или может начинали с них свой трудовой путь?

​​Прохождение пакетов через брандмауэр Linux и Mikrotik

Одна из вечных тем. Сколько не пиши про нее – вопросов меньше не становится. Как и ошибок.

Это равно касается как Linux, так и Mikrotik, что не удивительно, так как и там и там работает iptables.

В свежих дистрибутивах его сменил nftables, но в большинстве случаев он работает в режиме совместимости с iptables и использует синтаксис последнего.

Поэтому каждый должен твердо знать и понимать процесс прохождения пакетов через брандмауэр.

Общий принцип прост: пакет следует по таблицам, каждая из которых содержит цепочки. Внутри цепочки принадлежащей одной таблице правила обрабатываются последовательно до первого срабатывания.

При срабатывании, если правило было терминирующее, то пакет прекращает движение по цепочке таблицы и передается далее. Если оно было нетерминирующее – движется дальше.

Еще одним важным моментом являются точки принятия решения о маршрутизации. Если вы хотите внести изменения в маршрут движения пакета, то это нужно сделать до того, как пакет попадет в эту точку.

Более подробно обо всем этом написано в нашей статье:

🔹 Основы iptables для начинающих. Часть 1. Общие вопросы

Крайне рекомендуем ознакомиться с ней и освежить свои знания.

​​TeraBox – гигабайт облачного хранилища от китайцев

Недавно коллеги подкинули наводку на облачный сервис TeraBox, который бесплатно предлагает 1 ТБ пространства, да не просто терабайт, а честный терабайт, т.е. 1024 ГБ.

Регистрация в TeraBox не составляет труда, достаточно электронной почты, русский язык в клиенте присутствует, а сам клиент есть под все распространенные мобильные и настольные ОС, включая Linux (DEB и RPM).

Особых проблем с его эксплуатацией не возникло, ограничения на бесплатном аккаунте тоже довольно мягкие: максимальный размер загружаемого файла не должен превышать 20 ГБ.

Для медиафайлов имеется встроенный плейер, однако в бесплатном варианте он ограничен качеством в 480p. Но это несущественный недостаток.

А вот более существенным и основным недостатком этого облака является скорость доступа. В зависимости от времени суток, фаз луны и много еще чего она может варьироваться от единиц мегабит с секунду, до нескольких десятков.

В среднем это где-то от 10 до 30 Мбит/с. Также было замечено, что скорость зависит от размера файлов, чем больше файл – тем ниже скорость.

Понятно, что надежность любого облачного сервиса – это вопрос интересный, но, надеемся, что никто не будет хранить там ценные файлы в единственном экземпляре. А вот как запасное хранилище сервис вполне подходит и низкие скорости не будут тут сильным ограничением.

⭐️ RHEL: создание локального репозитория-зеркала для просветленных🧘‍♂️

Делимся статьей инженеров из «Инфосистемы Джет». В материале они рассказывают, как создать локальный репозиторий в RHEL и при этом не потерять части функционала и данных. 

Какие возможности дает репозиторий, кроме основной функции:
🍭 устанавливать пакеты группами;
🍭 устанавливать пакеты по Eratta (не по именам);
🍭 устанавливать по конкретным патчам безопасности CVE (Common Vulnerabilities and Exposures);
🍭 синхронизировать репозитории не полностью, а «частично», с информацией по только добавившимся пакетам с прошлого раза.

Как поймать технический дзен, стать просветленным и зеркалировать репозитории с большим уровнем понимания, читайте здесь.

​​systemd.path – реагируем на события файловой системы

Как мы уже рассказывали systemd предоставляет администраторам простые, но в тоже время мощные инструменты на все случаи жизни.

Сегодня мы рассмотрим еще один тип юнита – path, который предназначен для контроля событий файловой системы. Сейчас он позволяет реагировать на создание, изменение или модификацию файлов или на появление файлов в директории.

Создадим для примера юнит /etc/systemd/system/my_name.path

И внесем в него следующие строки:

[Unit]
Description= Path test

[Path]
PathExists=/a/b/c/filename

[Install]
WantedBy=multi-user.target

В общем и целом, стандартный юнит, ничего необычного, кроме секции Path, в директиве PathExists – путь, который мы отслеживаем.

Если секция Path не содержит директивы Unit, то будет найден и запушен одноименный сервис, т.е. my_name.service.

Если требуется запуск другой службы, то ее требуется указать явно, т.е.:

[Path]
PathExists=/a/b/c/filename
Unit=123.service

Для начала работы юнит нужно запустить и добавить в автозагрузку:

systemctl start my_name.path
systemctl enable my_name.path

Или одной командой:

systemctl enable --now my_name.path

В секции [Path] можно одновременно отслеживать несколько путей, запуск юнита произойдет при выполнении любого условия. Однако если хоть одно условие содержит пустую строку, то все директивы будут проигнорированы и юнит работать не будет.

Для отслеживания событий можно использовать следующие директивы:

▫️ PathExists= проверяет существование файла

▫️ PathExistsGlob= тоже самое, но позволяет использовать шаблоны подстановки

▫️ PathChanged= проверяет изменение файла, срабатывает по окончанию редактирования

▫️ PathModified= проверяет модификацию файла, срабатывает сразу, не дожидаясь окончания редактирования.

▫️ DirectoryNotEmpty= проверяет появление файлов в директории

Дополнительно с последней можно использовать:

▫️ MakeDirectory= при указании true каталог для отслеживания будет автоматически создан

▫️ DirectoryMode= права на созданный каталог, по умолчанию 0755

Еще две опции позволяют задать временные лимиты срабатывания.

▫️ TriggerLimitIntervalSec= юнит будет срабатывать не чаще указанного промежутка вермени, по умолчанию 2 секунды.

▫️ TriggerLimitBurst= количество активаций за указанное время, по умолчанию 200. Таким образом если произойдет более 200 срабатываний за 2 секунды, то юнит перейдет в режим сбоя не будет работать до перезапуска.


Отдельно следует отметить, что systemd.path работает только с локальными файловыми системами и не будет работать с SMB или NFS.

​​Qiwi Банк – всё…

Сегодня произошло то, что было в общем-то ожидаемо:

Банк России приказом от 21 февраля отозвал лицензию на осуществление банковских операций у КИВИ Банка, сообщается на сайте ЦБ.

По данным регулятора, банк систематически нарушал законодательство по противодействию легализации преступных доходов и финансированию терроризма.

Причем все из написанного верно, Киви не отличался особой разборчивостью и позволял гонять деньги в пределах лимитов, особо не заморачиваясь ни их происхождением, ни личностями отправителей и получателей.

Поэтому не удивительно что терпение ЦБ в итоге лопнуло, странно, что это не произошло раньше.

Ну а нам до этого какое дело? Казалось бы, помер дед Максим, да и … с ним. Но увы, последнее время Киви оставался одним из самых доступных и недорогих способов оплатить что-нибудь там, тот же Steam, или вывести деньги оттуда.

Теперь все будет гораздо сложнее и дороже.

Что касается дальнейшей судьбы Киви, то мне кажется, что такое добро долго бесхозным не проваляется, все-таки у Киви-кошелька весьма крупная пользовательская база. Так что довольно вероятно его поднимет какой-нибудь банк, закрутит гайки, отряхнет и запустит под новой крышей.

Вариант два – это пойти по пути Вебмани, окопавшись где-нибудь вне юрисдикции и оперируя собственными фантиками, которые просто так не вывести и ничего ими не оплатить без конских конвертаций и комиссий.

В этом случае Киви ждет ожидаемое забвение и судьба очередной нишевой «валюты» для стремных делишек, где конские комиссии особой роли играть не будут.

Ну и, надеемся, никто значительные суммы денег на Киви кошельках не держал. А если держал, то сам себе злобный буратино, так как уже после летних событий с ограничением операций было понятно, что от Киви надо бежать куда подальше, а все транзакции проводить по принципу: не успело зайти – сразу ушло.