http://mikrotik.moscow Новое в теме Блокировка IP-адресов по регионам форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 23:15:53 -0400 Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Скрипт для загрузки актуального списка IP-адресов страны, замените «UK» на код вашей страны /system scheduler  
add interval=1d name="address_lists_UK" on-event=\
"/tool fetch url=\"http://www.iwik.org/ipcountry/mikrotik/UK\" dst-path=\"UK.rsc\"\r\
\n/delay 10\r\
\n/import file-name=\"UK.rsc\"" policy=read,write,test start-time=startup  
благодарности https://mrnonaki.net/mikrotik-free-country-ip-address-lists-daily-updates-cidr-7e654eb659c9
23.01.2024 23:04:00, nordscan.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444101 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444101 Tue, 23 Jan 2024 23:04:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Если ты — владелец этого IP-пространства / ASN, тебе стоит связаться с RIR, чтобы исправить ситуацию. На самом деле, RIPE — один из немногих регистраторов с очень удобным веб-интерфейсом для управления IP-ресурсами, который я видел за последнее время. Скорее всего, ты мог бы исправить это и сам. Фактически, я точно знаю, что в базе данных RIPE есть атрибут «Country», который можно указать в объекте INET / INET6, чтобы конкретно обозначить, в какой стране используется этот IP-диапазон.

Наши префиксы несколько лет назад по ошибке попали в BOGON-листы команды CYMR из-за косяка, который допустил наш местный RIR в этих базах. Мне понадобилось всего одно письмо и 30 минут, чтобы решить этот вопрос на глобальном уровне. Проблема была не в базе RIPE, а в mikrotikconfig.com. Атрибут «Country» у меня был задан правильно с самого получения выделения. Другие сайты вроде ipinfo и различные whois-сервисы указывали верную страну.

Я несколько раз писал в ISP Supplies, но ответа не получил. Мой префикс, однако, исчез из российского списка, так что они либо обновили свои списки, либо удалили его вручную. Я склоняюсь ко второму варианту, потому что теперь префикс вообще отсутствует в их списках.
28.04.2022 08:48:00, tlaguz.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444100 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444100 Thu, 28 Apr 2022 08:48:00 -0400 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Привет, используй это https://www.ip2location.com/free/visitor-blocker
11.03.2022 15:25:00, vinu.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444099 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444099 Fri, 11 Mar 2022 15:25:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Это максимально точная информация, которая только может быть. Эти данные (не только от RIPE, но и от всех региональных RIR) используются, например, для RPKI. Да, ошибки случаются, это бывает, но они — «авторитетный» поставщик и хранитель этих данных. Очень многое зависит от того, насколько точна эта информация (включая базы GeoIP). Если вы — ответственный за этот IP-пространство или ASN, вам стоит связаться с RIR, чтобы исправить ошибку. На самом деле, у RIPE один из лучших веб-сайтов для управления IP-ресурсами, которые я видел за последнее время. Скорее всего, вы могли бы исправить это сами. Я точно знаю, что в базе RIPE есть атрибут «Country», который можно использовать в объектах INET / INET6, чтобы указать, в какой стране используется этот диапазон IP. Наши префиксы пару лет назад ошибочно попали в списки BOGON команды CYMR из-за ошибки нашего местного RIR в этих базах. Мне понадобилось всего одно письмо и 30 минут, чтобы эта проблема была решена по всему миру.
11.03.2022 08:56:00, savage.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444098 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444098 Fri, 11 Mar 2022 08:56:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Нет, я сказал, что правильное решение — это бизнес-аккаунт у провайдера с или без edge-роутера, чтобы MT не участвовал в таких процессах. Для обычного пользователя любой из этих двух вариантов, скорее всего, избыточен, но действенен, особенно второй вариант — он не так уж дорог и берет всю работу на себя. Что касается RIPE, мне на него вообще наплевать. Блокировка по странам без какой-либо дополнительной аналитики — просто пустая трата времени.
06.03.2022 21:54:00, 404Network.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444097 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444097 Sun, 06 Mar 2022 21:54:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Значит, решение, которое вытягивает данные из RIPE, бесполезно, а вот эти два сайта с платными услугами без указания источника — вот правильное решение?
06.03.2022 21:48:00, Znevna.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444096 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444096 Sun, 06 Mar 2022 21:48:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Я не понимаю, в чём тут неточность в информации, которую я опубликовал. Там есть скрипт на bash, который скачивает текущие аллокации прямо с ftp RIPE. URL для скачивания формируется на основе текущей системной даты. Вы можете проверить содержимое ftp RIPE через этот http-миррор: https://ftp.ripe.net/pub/stats/ripencc/. Как видите, он регулярно обновляется. Проблему я заметил, когда получил аллокацию от RIPE в 2021 году, которая раньше была выделена Российской Федерации. Недавно несколько моих клиентов решили заблокировать российские IP и использовали бесплатные инструменты, вроде того, что я приводил выше, чтобы получить данные по российским аллокациям. Большинство этих инструментов показывают мой IP-блок как выделенный России. Согласен, что такая блокировка скорее всего бесполезна, но люди её внедряют. Ссылка, которую я дал, показывает, как правильно получить данные по IP-аллокациям.
05.03.2022 23:09:00, tlaguz.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444095 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444095 Sat, 05 Mar 2022 23:09:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Без какого-либо знания о источнике информации или её актуальности — это практически бесполезно. К тому же боты могут быть настроены на любую страну, так что блокировка по странам — это заблуждение с самого начала. Все эти дополнительные инструменты съедают процессор и усложняют конфигурацию, из-за чего любые проблемы трудно найти, а в 99% случаев для обычного пользователя достаточно правила drop all в конце цепочки input и forward. Если речь о бизнесе, тогда у вас может быть:  
а) граничный роутер перед MT,  
б) подключение бизнес-класса от провайдера, который гарантирует время работы и защиту,  
в) MT-роутер не предназначен для защиты от DDOS и подобных атак. К тому же бизнес может платить за сервисы для этих граничных роутеров и т.д.  
Есть также некоторые сервисы для MT, ориентированные на известных нарушителей, независимо от страны, и поэтому более точные, эффективные и актуальные.  
пример 1 — https://axiomcyber.com/mikrotik-support/  
пример 2 — https://itexpertoncall.com/promotional/firewall_nat.html (самое выгодное решение для вас или ваших клиентов, на мой взгляд)
05.03.2022 17:53:00, 404Network.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444094 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444094 Sat, 05 Mar 2022 17:53:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
А информация из 2013 года достоверна?
05.03.2022 17:33:00, holvoetn.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444093 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444093 Sat, 05 Mar 2022 17:33:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Пожалуйста, не пользуйтесь этим сайтом! Он не обновляется должным образом. Актуальный список распределений можно скачать напрямую с RIPE: http://www.unix-master.com/2013/08/get-all-ip-subnets-of-your-country.html

ИЗМЕНЕНИЕ 2024-07-12: Я всё ещё пытаюсь разобраться с проблемой блокировки, и сайт unix-master.com, похоже, недоступен. Для вашего удобства вот рабочая копия с archive.org: https://web.archive.org/web/20230610000647/http://www.unix-master.com/2013/08/get-all-ip-subnets-of-your-country.html
05.03.2022 16:28:00, tlaguz.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444092 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444092 Sat, 05 Mar 2022 16:28:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Вот что у меня сейчас, похоже, работает.. /ip firewall raw  
add action=accept chain=prerouting log-prefix="dropped by geo IP blocked ranges" src-address-list=CountryIPBlocksToAllowToAllow  
add action=accept chain=prerouting dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"  
add action=accept chain=output disabled=yes dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"  
add action=drop chain=prerouting comment="Prerouting DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"  
add action=drop chain=output comment="Output DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"  

По сути, поменяйте «drop» в трёх правилах выше на «accept», а затем добавьте ещё два правила — для цепочек prerouting и output без условий, чтобы они работали как базовое «deny all». (И эти правила должны быть внизу таблицы RAW.)  

ПРАВКА: обязательно добавьте ваши локальные IP-адреса LAN в белый список, иначе сломаются любые hairpin NAT’ы.  

Моё решение — два отдельные правила именно для списка адресов LAN, теперь это выглядит так:  
/ip firewall raw  
add action=accept chain=prerouting log-prefix="dropped by geo IP blocked ranges" src-address-list=Local  
add action=accept chain=output dst-address-list=Local log-prefix="dropped by geo IP blocked ranges"  
add action=accept chain=prerouting log-prefix="dropped by geo IP blocked ranges" src-address-list=CountryIPBlocksToAllowToAllow  
add action=accept chain=prerouting dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"  
add action=accept chain=output disabled=yes log-prefix="dropped by geo IP blocked ranges" src-address-list=CountryIPBlocksToAllowToAllow  
add action=accept chain=output dst-address-list=CountryIPBlocksToAllowToAllow log-prefix="dropped by geo IP blocked ranges"  
add action=drop chain=prerouting comment="Prerouting DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"  
add action=drop chain=output comment="Output DENY ALL" log=yes log-prefix="dropped by geo IP blocked ranges"
01.07.2021 21:06:00, JAza.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444091 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444091 Thu, 01 Jul 2021 21:06:00 -0400 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Насколько производительна эта решение? У меня здесь запущен RBM33G, и только для Германии сайт генерирует почти 10 000 записей. Большое влияние на производительность маршрутизации?
19.02.2020 17:54:00, mmmmarcel.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444090 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444090 Wed, 19 Feb 2020 17:54:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Можно ли разрешить доступ только для dst-address-list=CountryIPBlocks? Я бы хотел добавить своих «хороших ребят» в CountryIPBlocks, заблокировать всех «плохих», а потом разрешить доступ только для хороших.
27.01.2020 14:26:00, samoring.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444089 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444089 Mon, 27 Jan 2020 14:26:00 -0500 RouterOS Блокировка IP-адресов по регионам RouterOS в форуме RouterOS.
Работает ОС версии 6.38, интересуюсь, есть ли способ блокировать входящие IP по регионам. У нас есть система 3CX, которая постоянно заносит в чёрный список IP из других стран, и я работал с другими брендами роутеров, у которых есть географическая функция, позволяющая блокировать IP по местоположению. Это очень помогло бы в нашей ситуации, так как IP, занесённые в чёрный список системой VOIP, в основном из Европы, Азии и Африки, а 99,9% легитимного трафика должно приходить из Северной Америки. Есть ли возможность блокировать IP по локации в моей версии ОС?
19.12.2017 15:45:00, MikeatBdnComputers.]]> http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444088 http://mikrotik.moscow/forum/forum57/90744-blokirovka-ip_adresov-po-regionam/message444088 Tue, 19 Dec 2017 15:45:00 -0500 RouterOS