Информация
Услуги
  • Внедрение
  • Настройка
  • Поддержка
  • Ремонт
Контакты
Новинка
Распродажа
Новости
Доставка
Оплата
Загрузки
  • Прошивки
    • WinBox
    • RouterOS
    • Мобильные приложения MikroTik
    • Архив
  • RouterOS
  • Мобильные приложения MikroTik
  • Архив
Форум
Настройка
    info@mikrotik.moscow
    +7 495 320-55-52
    Заказать звонок
    Mikrotik.moscow
    Каталог
    • Акции
      Акции
    • Маршрутизаторы
      Маршрутизаторы
    • Коммутаторы
      Коммутаторы
    • Радиомосты и уличные точки доступа
      Радиомосты и уличные точки доступа
    • Wi-Fi для дома и офиса
      Wi-Fi для дома и офиса
    • LTE/5G
      LTE/5G
    • Powerline адаптеры
      Powerline адаптеры
    • IoT устройства
      IoT устройства
    • Оборудование 60 ГГц
      Оборудование 60 ГГц
    • Материнские платы RouterBOARD
      Материнские платы RouterBOARD
    • Корпуса
      Корпуса
    • Интерфейсы
      Интерфейсы
    • SFP/QSFP трансиверы
      SFP/QSFP трансиверы
    • Аксессуары
      Аксессуары
    • Антенны
      Антенны
    • Архив
      Архив
    Войти
    0 Сравнение
    0 Избранное
    0 Корзина
    Скачать WinBox Скачать Прошивки Форум > RouterOS Форум > SwOS Форум > Железо
    Mikrotik.moscow
    Каталог
    Войти
    0 Сравнение
    0 Избранное
    0 Корзина
    Mikrotik.moscow
    Телефоны
    +7 495 320-55-52
    Заказать звонок
    0
    0
    0
    Mikrotik.moscow
    • +7 495 320-55-52
      • Назад
      • Телефоны
      • +7 495 320-55-52
      • Заказать звонок
    • info@mikrotik.moscow
    • г. Москва, ул. Бакунинская, 84
    • Пн-Пт: 09-00 до 18-00
      Сб-Вс: выходной


    • Кабинет
    • 0 Сравнение
    • 0 Избранное
    • 0 Корзина
    Главная
    Форум
    Форум
    RouterOS
    Как добавить автоматический диапазон адресов из одного IP

    Как добавить автоматический диапазон адресов из одного IP

    Форумы: RouterOS, Аппаратное обеспечение, SwOS, Обратная связь, Объявления, Сторонние инструменты
    Поиск  Пользователи  Правила  Войти
    Страницы: 1
    RSS
    Как добавить автоматический диапазон адресов из одного IP, RouterOS
     
    LostUser
    Guest
    #1
    0
    30.09.2024 12:39:00
    У меня есть несколько правил фильтрации, которые при первой попытке доступа к определённому порту добавляют входящий IP в список адресов. При второй попытке этот IP добавляется в второй список, а при третьей — в третий список. На третьей попытке этот IP из третьего списка блокируется. Всё работает отлично, но я хотел бы изменить настройку так, чтобы на третьем этапе блокировался не конкретный IP, а весь диапазон IP x.x.x.x/24. Пока что не удалось понять, как это сделать с помощью правил фильтрации. Полагаю, что для этого нужен скрипт, что меня устраивает, но хотелось бы иметь несколько вариантов для тестирования и исследования, и, если возможно, оставить всё в правилах фильтрации без скриптов. Буду признателен за любую помощь. Заранее спасибо.
     
     
     
    LostUser
    Guest
    #2
    0
    29.10.2024 13:21:00
    Спасибо, @msatter, именно это я и предполагал, что придется делать. Единственный скрипт, который я раньше писал, — это тот, что отправляет мне письмо, если IP моего роутера меняется.
     
     
     
    LostUser
    Guest
    #3
    0
    29.10.2024 13:18:00
    Извиняюсь, ребята. Последнее время было много работы, поэтому не мог ответить. Я прочитал ваши ответы, и у меня сложилось хорошее понимание: скорее всего, нужен скрипт с расписанием. Также, что касается блокировки диапазона IP, а не конкретного адреса — это может вызвать проблемы, но для этого есть причины и способы их обхода. Делать это для крупной организации требует более методичного и детального подхода. У меня же это для домашнего использования: обычно я ставлю таймер для определённых подключений, чтобы они сбрасывались после нескольких попыток, а потом смотрю логи, чтобы понять, что происходит. Я сталкивался с IP-адресами из своей страны, которые занимались порт-сканированием и даже более — некоторые принадлежат безопасности, большинство — нет. Недавно я пожаловался на один, мне ответили, что это безопасность, и я могу исключить свой IP из их сканирования.
     
     
     
    LostUser
    Guest
    #4
    0
    01.11.2024 12:51:00
    Цитата
    Цитата
    Так с помощью фильтров этого не сделаешь. Да и вообще, идея не самая удачная. Можно случайно заблокировать легитимный трафик!
    Я бы сказал, что для этого нужен какой-то скрипт с ограничением по времени — например, 20 минут до следующей попытки. Это просто мои мысли…
    @wfburton У меня как раз есть таймер, который блокирует IP после трёх попыток на определённых портах. Если первые две попытки происходят в установленный промежуток времени, я добавляю этот IP в список. При третьей попытке, если IP всё ещё в списке, я блокирую его на гораздо больший срок.
     
     
     
    LostUser
    Guest
    #5
    0
    01.11.2024 13:09:00
    Цитата
     
    Цитата
     
    Мой опыт подсказывает, что вскоре вы начнёте блокировать подсети облачных VPS-сервисов, которые хостят как легитимные веб-сервисы, так и «исследователей» (или хакеров), использующих VPS для сканирования открытых портов. Поэтому ваши правила наверняка заблокируют сети /24, но рано или поздно начнут поступать жалобы на недоступность некоторых сайтов.  
    Если кто-то сканирует порты, то это не совсем легитимно, не так ли? Я бы ограничился конкретным IP-адресом, а не целым блоком CIDR, и, возможно, добавил список исключений для заблокированных сайтов. В MikroTik есть родительский контроль, но я с ним особо не игрался. Может, это слишком сложно или запутанно, и не уверен, что им можно управлять через скрипт. В общем, это была бы работа над ошибками, которую надо тонко настраивать.  
    Сканирование портов может быть легитимным, и если бы мы жили в мире без злонамеренных людей, причин для сканирования портов было бы куда меньше. Оно полезно для тестирования приложений и настроек брандмауэра даже в таком идеальном мире. Сканирование также часть процесса сбора статистики об открытых портах на оборудовании. Оттуда попытки доступа к портам, которые могут быть уязвимы, дают ещё один набор данных. Из некоторых открытых портов можно получить базовую информацию без попыток входа — просто отталкиваясь от ответов.
     
     
     
    LostUser
    Guest
    #6
    0
    01.11.2024 13:14:00
    Я понимаю, что можно заблокировать легитимный трафик. Необходим процесс, при котором результаты тщательно отслеживаются, вносятся изменения, затем проводится тестирование, и процесс повторяется.
     
     
     
    pe1chl
    Guest
    #7
    0
    01.11.2024 14:27:00
    Если у вас нет быстрого интернет-соединения с большой подсетью и при этом медленной внутренней сети, то это в основном пустая трата времени. Лучше уделите время защите своих сервисов, например, не оставляйте такие сервисы, как SSH, telnet, RDP, winbox и прочие, открытыми в интернете.
     
     
     
    Страницы: 1
    Читают тему
    +7 495 320-55-52
    info@mikrotik.moscow
    Электрозаводская, Бауманская
    Москва, ул. Бакунинская, 84с21
    Конфиденциальность Оферта
    © 2026 «Mikrotik.Moscow»
    Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры