+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Блокировка IP-адресов по регионам

Блокировка IP-адресов по регионам, RouterOS

MikeatBdnComputers

Guest

19.12.2017 15:45:00

Работает ОС версии 6.38, интересуюсь, есть ли способ блокировать входящие IP по регионам. У нас есть система 3CX, которая постоянно заносит в чёрный список IP из других стран, и я работал с другими брендами роутеров, у которых есть географическая функция, позволяющая блокировать IP по местоположению. Это очень помогло бы в нашей ситуации, так как IP, занесённые в чёрный список системой VOIP, в основном из Европы, Азии и Африки, а 99,9% легитимного трафика должно приходить из Северной Америки. Есть ли возможность блокировать IP по локации в моей версии ОС?

samoring Guest	#2 0 27.01.2020 14:26:00 Можно ли разрешить доступ только для dst-address-list=CountryIPBlocks? Я бы хотел добавить своих «хороших ребят» в CountryIPBlocks, заблокировать всех «плохих», а потом разрешить доступ только для хороших.

mmmmarcel Guest	#3 0 19.02.2020 17:54:00 Насколько производительна эта решение? У меня здесь запущен RBM33G, и только для Германии сайт генерирует почти 10 000 записей. Большое влияние на производительность маршрутизации?

JAza

Guest

01.07.2021 21:06:00

Вот что у меня сейчас, похоже, работает.. /ip firewall raw
add action=accept chain=prerouting log-prefix="dropped by geo IP blocked ranges" src-address-list=CountryIPBlocksToAllowToAllow
add action=accept chain=prerouting dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"
add action=accept chain=output disabled=yes dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"
add action=drop chain=prerouting comment="Prerouting DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"
add action=drop chain=output comment="Output DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"

По сути, поменяйте «drop» в трёх правилах выше на «accept», а затем добавьте ещё два правила — для цепочек prerouting и output без условий, чтобы они работали как базовое «deny all». (И эти правила должны быть внизу таблицы RAW.)

ПРАВКА: обязательно добавьте ваши локальные IP-адреса LAN в белый список, иначе сломаются любые hairpin NAT’ы.

Моё решение — два отдельные правила именно для списка адресов LAN, теперь это выглядит так:
/ip firewall raw
add action=accept chain=prerouting log-prefix="dropped by geo IP blocked ranges" src-address-list=Local
add action=accept chain=output dst-address-list=Local log-prefix="dropped by geo IP blocked ranges"
add action=accept chain=prerouting log-prefix="dropped by geo IP blocked ranges" src-address-list=CountryIPBlocksToAllowToAllow
add action=accept chain=prerouting dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"
add action=accept chain=output disabled=yes log-prefix="dropped by geo IP blocked ranges" src-address-list=CountryIPBlocksToAllowToAllow
add action=accept chain=output dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"
add action=drop chain=prerouting comment="Prerouting DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"
add action=drop chain=output comment="Output DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"

tlaguz

Guest

05.03.2022 16:28:00

Пожалуйста, не пользуйтесь этим сайтом! Он не обновляется должным образом. Актуальный список распределений можно скачать напрямую с RIPE: http://www.unix-master.com/2013/08/get-all-ip-subnets-of-your-country.html

ИЗМЕНЕНИЕ 2024-07-12: Я всё ещё пытаюсь разобраться с проблемой блокировки, и сайт unix-master.com, похоже, недоступен. Для вашего удобства вот рабочая копия с archive.org: https://web.archive.org/web/20230610000647/http://www.unix-master.com/2013/08/get-all-ip-subnets-of-your-country.html

holvoetn Guest	#6 0 05.03.2022 17:33:00 А информация из 2013 года достоверна?

404Network

Guest

05.03.2022 17:53:00

Без какого-либо знания о источнике информации или её актуальности — это практически бесполезно. К тому же боты могут быть настроены на любую страну, так что блокировка по странам — это заблуждение с самого начала. Все эти дополнительные инструменты съедают процессор и усложняют конфигурацию, из-за чего любые проблемы трудно найти, а в 99% случаев для обычного пользователя достаточно правила drop all в конце цепочки input и forward. Если речь о бизнесе, тогда у вас может быть:
а) граничный роутер перед MT,
б) подключение бизнес-класса от провайдера, который гарантирует время работы и защиту,
в) MT-роутер не предназначен для защиты от DDOS и подобных атак. К тому же бизнес может платить за сервисы для этих граничных роутеров и т.д.
Есть также некоторые сервисы для MT, ориентированные на известных нарушителей, независимо от страны, и поэтому более точные, эффективные и актуальные.
пример 1 — https://axiomcyber.com/mikrotik-support/
пример 2 — https://itexpertoncall.com/promotional/firewall_nat.html (самое выгодное решение для вас или ваших клиентов, на мой взгляд)

tlaguz

Guest

05.03.2022 23:09:00

Я не понимаю, в чём тут неточность в информации, которую я опубликовал. Там есть скрипт на bash, который скачивает текущие аллокации прямо с ftp RIPE. URL для скачивания формируется на основе текущей системной даты. Вы можете проверить содержимое ftp RIPE через этот http-миррор: https://ftp.ripe.net/pub/stats/ripencc/. Как видите, он регулярно обновляется. Проблему я заметил, когда получил аллокацию от RIPE в 2021 году, которая раньше была выделена Российской Федерации. Недавно несколько моих клиентов решили заблокировать российские IP и использовали бесплатные инструменты, вроде того, что я приводил выше, чтобы получить данные по российским аллокациям. Большинство этих инструментов показывают мой IP-блок как выделенный России. Согласен, что такая блокировка скорее всего бесполезна, но люди её внедряют. Ссылка, которую я дал, показывает, как правильно получить данные по IP-аллокациям.

Znevna Guest	#9 0 06.03.2022 21:48:00 Значит, решение, которое вытягивает данные из RIPE, бесполезно, а вот эти два сайта с платными услугами без указания источника — вот правильное решение?

404Network

Guest

#10

06.03.2022 21:54:00

Нет, я сказал, что правильное решение — это бизнес-аккаунт у провайдера с или без edge-роутера, чтобы MT не участвовал в таких процессах. Для обычного пользователя любой из этих двух вариантов, скорее всего, избыточен, но действенен, особенно второй вариант — он не так уж дорог и берет всю работу на себя. Что касается RIPE, мне на него вообще наплевать. Блокировка по странам без какой-либо дополнительной аналитики — просто пустая трата времени.

savage

Guest

#11

11.03.2022 08:56:00

Это максимально точная информация, которая только может быть. Эти данные (не только от RIPE, но и от всех региональных RIR) используются, например, для RPKI. Да, ошибки случаются, это бывает, но они — «авторитетный» поставщик и хранитель этих данных. Очень многое зависит от того, насколько точна эта информация (включая базы GeoIP). Если вы — ответственный за этот IP-пространство или ASN, вам стоит связаться с RIR, чтобы исправить ошибку. На самом деле, у RIPE один из лучших веб-сайтов для управления IP-ресурсами, которые я видел за последнее время. Скорее всего, вы могли бы исправить это сами. Я точно знаю, что в базе RIPE есть атрибут «Country», который можно использовать в объектах INET / INET6, чтобы указать, в какой стране используется этот диапазон IP. Наши префиксы пару лет назад ошибочно попали в списки BOGON команды CYMR из-за ошибки нашего местного RIR в этих базах. Мне понадобилось всего одно письмо и 30 минут, чтобы эта проблема была решена по всему миру.

vinu Guest	#12 0 11.03.2022 15:25:00 Привет, используй это https://www.ip2location.com/free/visitor-blocker

tlaguz

Guest

#13

28.04.2022 08:48:00

Если ты — владелец этого IP-пространства / ASN, тебе стоит связаться с RIR, чтобы исправить ситуацию. На самом деле, RIPE — один из немногих регистраторов с очень удобным веб-интерфейсом для управления IP-ресурсами, который я видел за последнее время. Скорее всего, ты мог бы исправить это и сам. Фактически, я точно знаю, что в базе данных RIPE есть атрибут «Country», который можно указать в объекте INET / INET6, чтобы конкретно обозначить, в какой стране используется этот IP-диапазон.

Наши префиксы несколько лет назад по ошибке попали в BOGON-листы команды CYMR из-за косяка, который допустил наш местный RIR в этих базах. Мне понадобилось всего одно письмо и 30 минут, чтобы решить этот вопрос на глобальном уровне. Проблема была не в базе RIPE, а в mikrotikconfig.com. Атрибут «Country» у меня был задан правильно с самого получения выделения. Другие сайты вроде ipinfo и различные whois-сервисы указывали верную страну.

Я несколько раз писал в ISP Supplies, но ответа не получил. Мой префикс, однако, исчез из российского списка, так что они либо обновили свои списки, либо удалили его вручную. Я склоняюсь ко второму варианту, потому что теперь префикс вообще отсутствует в их списках.

nordscan Guest	#14 0 23.01.2024 23:04:00 Скрипт для загрузки актуального списка IP-адресов страны, замените «UK» на код вашей страны /system scheduler add interval=1d name="address_lists_UK" on-event=\ "/tool fetch url=\"http://www.iwik.org/ipcountry/mikrotik/UK\" dst-path=\"UK.rsc\"\r\ \n/delay 10\r\ \n/import file-name=\"UK.rsc\"" policy=read,write,test start-time=startup благодарности https://mrnonaki.net/mikrotik-free-country-ip-address-lists-daily-updates-cidr-7e654eb659c9

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры