Основы компьютерных сетей

Тема №1. Основные сетевые термины и сетевые модели

Тема №2. Протоколы верхнего уровня

Тема №3. Протоколы нижних уровней (транспортного, сетевого и канального)

Тема №4. Сетевые устройства и виды применяемых кабелей

Тема №5. Понятие IP адресации, масок подсетей и их расчет

Тема №6. Понятие VLAN, Trunk и протоколы VTP и DTP

Тема №7. Протокол связующего дерева: STP

Тема №8. Протокол агрегирования каналов: Etherchannel

Тема №9. Маршрутизация: статическая и динамическая на примере RIP, OSPF и EIGRP

👉 @linuxchmod

Установка и базовая конфигурация pfSense

источник

👉 @linuxchmod

Подборка часто используемых команд для первоначальной настройки устройств MikroTik: имя устройства, DNS сервера, Email, время, доступы и т.д.

Установки имени устройства
/system identity set name=MyHomeMikrotik

Установка своих DNS серверов и отключение получения их по DHCP
/ip dns set servers=8.8.8.8,1.1.1.1
/ip dhcp-client set [find ] use-peer-dns=no

Настройка email клиента для работы с Yandex.Mail
Для корректной работы разрешите в настройках профиля авторизацию SMTP по обычному паролю или [рекомендуется] используйте пароли приложений (почта)
/tool e-mail
set address=smtp.yandex.ru [email protected] password=example-pass port=587 start-tls=yes [email protected]

Настройка синхронизации времени по NTP и MikroTik Cloud Time (Москва)
/system ntp client set enabled=yes server-dns-names=time.google.com,0.pool.ntp.org,1.pool.ntp.org,2.pool.ntp.org,3.pool.ntp.org
/system clock set time-zone-autodetect=no
/system clock set time-zone-name=Europe/Moscow
/ip cloud set update-time=yes

Изменение количества строк системного лога
/system logging action set memory memory-lines=10000

Очистка системного лога (оставляет сообщение о смене настроек лога)
/system logging action set memory memory-lines=1
/system logging action set memory memory-lines=10000

Контроль доступа с IP адресов домена
Это позволяет использовать DynamicDNS для записей своего домена, и получать доступ к устройству с IP адресов, которые будут резолвится с домена. RouterOS будет сам обновлять записи и access-list при изменении записи в домене.

Обратите внимание, в конце 2 строки с move. Это сделано для того, чтобы правило корректно двигалось на первое место при включенном fasttrack (то есть первое место), а также при отключенном (на нулевое место)

/ip firewall address-list
add address=access.example.con list=DomainIPsAccess
/ip firewall filter
add action=accept chain=input src-address-list=DomainIPsAccess comment="Allow DomainIPsAccess"
move [find comment="Allow DomainIPsAccess"] 1
move [find comment="Allow DomainIPsAccess"] 0

Отключение ненужных служб доступа (web тоже отключается, осторожно)
/ip service disable www,ftp,api,api-ssl,telnet
/ip service enable ssh,winbox
/ip service set ssh address=""
/ip service set winbox address=""

Фикс MTU (нужен редко, но метко)
/ip firewall mangle
add chain=postrouting out-interface-list=WAN protocol=tcp tcp-flags=syn,!ack action=change-mss new-mss=clamp-to-pmtu comment="MTU Fix" passthrough=yes

Заблокировать доступ к WiFi по MAC-адресу
/interface wireless access-list authentication=no mac-address=8A:EA:B7:2E:38:C1

Поместить клиента WiFi в отдельный VLAN по MAC-адресу
/interface wireless access-list
add interface=all mac-address=8A:EA:B7:2E:38:C1 vlan-id=99 vlan-mode=use-tag

Настройка пароля и безопасности WiFi на default профиль
/interface wireless security-profiles set default mode=dynamic
-keys authentication-types=wpa2-psk unicast-ciphers=aes-ccm group-ciphers=aes-ccm
wpa2-pre-shared-key=bigpassword

Включение пробросов портов SSH
/ip ssh set forwarding-enabled=both

👉 @linuxchmod

💡 Масштабируемая блокировка IP с fail2ban + nftables sets


🛠 Шаги настройки

1. Создаём таблицу и set для заблокированных IP:

   sudo nft add table inet filter
   sudo nft add set inet filter banned_ips { type ipv4_addr\; timeout 1h\; }
   sudo nft add chain inet filter input { type filter hook input priority 0\; }
   sudo nft add rule inet filter input ip saddr @banned_ips drop
   

2. Конфигурируем fail2ban для работы с nftables sets:
Создайте файл /etc/fail2ban/action.d/nftables-set.conf:

   [Definition]
   actionstart =
   actionstop =
   actioncheck =

   actionban = nft add element inet filter banned_ips { <ip> }
   actionunban = nft delete element inet filter banned_ips { <ip> }
   

И укажите его в вашем jail:

   [sshd]
   enabled = true
   filter  = sshd
   action  = nftables-set[name=SSH, port=ssh, protocol=tcp]
   logpath = /var/log/auth.log
   maxretry = 5
   

3. Перезапускаем сервисы:

   sudo systemctl reload nftables
   sudo systemctl restart fail2ban
   

🔹Обычно используется для:

- Высокая частота банов (бот-атаки, сканирование)
- Централизованное управление — все IP в одном set’e
- Минимальная задержка: проверка set ≪ цепочки из отдельных правил



⚡ Полезный трюк

Можно задать TTL для записей в set, чтобы баны автоматически снимались по истечении:

nft add element inet filter banned_ips { 203.0.113.5 timeout 3600s }

Или использовать timeout при создании set’а (как в шаге 1) для массовых записей.

👉 @linuxchmod