KARYSLAV: To mě zajímá co kdo doporučí. Ale je to prostě tenký led co stojí hodně energie.

První experiment může být transparentní proxy přímo na Mikrotiku s vyplněným acceslistem http://wiki.mikrotik.com/wiki/Manual:IP/Proxy#Access_List (to má výhodu že mužeš použit doménová jména) pak použití externích proxy, které používají nástroje jako Dansguardian, Squidguard a nebo komerční řešení - k těm seženeš poměrně dlouhé seznamy i pro české prostředí, pokud to myslíš vážně (mají i seznamy porna, stránek s proxy a pod.) - jen pak děláš whitelisty když se ukáže že je tam i něco co doopravdy mají používat.
Pak pokračuješ zakazováním dalších a dalších služeb (jako třeba remote desktop / VNC / VPN (tady je hodně možností)). Až skončíš u toho že zahazuješ všechno a povoluješ málo co...

Pokud chceš magickou chybovost na některé weby určitě si můžeš vyhrát s pravidly firewallu a address listy tamtéž (tady už musíš mít přeložené jména na adresy).
Určitě vymyslíš nějaké pravidlo, které pustí jen 2 z 10 nových spojení, uděláš si na ty konkrétní požadavky nějakou úzkou frontu (sekající Youtube na nejnižší rozlišení není terno) a pod. Ale zase udržovat ty seznamy serverů bude peklo.

Je otázka co má být cíl. Já mám u jednoho klienta zadání od vedení co je povolený obsah a je to i součástí interních pravidel organizace. Ale stejně se to zatím neřešilo nikdy do té doby než byl průšvih a když byl tak stejně ani nedošlo na logy proxy a netflow, protože je dlouhodobě vidět že ten člověk nemá hotovo.

Když takhle přitvrdíš, tak pak už toho musíš začít řešit hodně včetně bezpečnosti celé sítě. Můj favorit zatím byl v síti bez zabezpečení na úrovni zásuvek/switchů člověk co si přinesl swůj switch, APčko a tablet...

KARYSLAV: aaaneeeboooo http://www.ex-parrot.com/pete/upside-down-ternet.html

KARYSLAV: Od nás z práce

buď

/ip firewall filter
add action=drop chain=forward comment="nyx od 9:00-12:00" dst-address=81.27.197.73 time=9h-12h,sun,mon,tue,wed,thu,fri,sat
add action=drop chain=forward comment="nyx od 13:00-20:00" dst-address=81.27.197.73 time=13h-20h,sun,mon,tue,wed,thu,fri,sat

Případně

/ip firewall address-list
add address=74.119.76.0/22 list=facebook
add address=173.252.64.0/19 list=facebook
add address=204.15.20.0/22 list=facebook
add address=66.220.144.0/21 list=facebook
add address=69.171.224.0/19 list=facebook
add address=173.252.96.0/19 list=facebook
add address=66.220.152.0/21 list=facebook

/ip firewall filter
add action=drop chain=forward dst-address-list=facebook

Analogicky můžeš specifikovat viníky přes src-address-list

Chce to jenom aby neměli přístup do routeru.. = )
(Btw stvořil kolega, je na nyxu taky tak ať se kdyžtak přihlásí = )

KARYSLAV: nahod v mikrotiku proxy a do nej snort a dansguardian a maj popice

Začínají mě brutálně srát manýry některejch kolegů, kteří zneužívají volnosti v práci a konstantně čumí ma Lets Playe, lžidnes, zlovinky a podobně.

Existuje nějakej, relativně použitelnej způsob jak nikrotikem zablokovat některý weby? Jak nad tím tak přemýšlím, tak pokud to neudělám na základě IP adres, tak se to dá jednoduše obejít, a i tam si VPNkou nebo proxynou budou moct pomoct (naštěstí maj omezenou FUPku na mobilech takže si vypráskaj celkem rychle prostor :-D )

Každopádně - snažím se to googlit ale nic moc, nemohl by mě někdo nasměrovat správným směrem? Jak to řeší třeba školy nebo velký firmy? Asi bych si i mohl rozjet nějakej virtual a tlačit ten traffic skrz to a kontrolovat jeslti je to OK nebo ne.

Respektive, existuje nějakej relativně "jednoduchej" způsob? :-D Spíš mi jde o to že tomu zase nechci věnovat moc energie... Líbilo by se mi to omezit jen některejm komplům v síti, nebo to zapínat ručně jen náhodně aby si nevšimli toho že to je zavedený... Něco zákeřního co bude vypadat jako chyba, možná nějakej náhodnej vyhazovač paketů?

Dík za tipy :)

Posledni dobou resim jednu divnost. Kdyz se mi odpoji mikrotik od kolegy naprotejsi strane. Z nejakeho nepochopitlneho duvodu nedokaze routovat. Ping primo z mikrotiku vsude vleze, jak do site na lan, tak dal do radia a i na net. Z toho duvodu moc nefunguje watchdog ktery by ohlidal reboot zarizeni, ktery je spasou a pak zase funguje normalne.
Trosku tusim ze by to mohl delat ROS 6.27 na obstaroznim kousku. No považte

routerboard: yes
model: 532
current-firmware: 2.18
upgrade-firmware: 2.18

Resili jste neco podobneho, napady ?

Mar/26/2015 10:10:37 wireless,info 00:0B:6B:XX@wlan0: lost connection, received deauth: unspecified (1)
Mar/26/2015 10:10:40 route,ospf,info OSPFv2 neighbor 10.XX: state change from Full to Down
Mar/26/2015 10:10:41 wireless,info 00:0B:6B:XX@wlan0 established connection on 5240000, SSID XXX
Mar/26/2015 10:12:02 route,ospf,info Database Description packet has different master status flag
Mar/26/2015 10:12:02 route,ospf,info new master flag=false
Mar/26/2015 10:12:02 route,ospf,info OSPFv2 neighbor XXX: state change from Full to 2-Way
Mar/26/2015 10:12:43 route,ospf,info Database Description packet has different master status flag
Mar/26/2015 10:12:43 route,ospf,info new master flag=false

POTRAT: Dle me reversni neumi.
Asi to budes muset udelat spis z toho mista kde potrebujes mit port. Klient (port tam) - Mikrotik - ip:port(tady) ve vnitrni siti.
Tohle jim rozhodne funguje a pouzivam to. Treba jako nouzovku na remote desktop na mistech kde ho normalne nepotrebuji.
Pokud to resis treba kvuli tomu, ze ten Mikrotik nema pevnou ip, muzes zkusit pouzit jejich DDNS http://wiki.mikrotik.com/wiki/Manual:IP/Cloud, pokud kvuli tomu ze je nekde hluboko za NATem a nema ani port pristupny z internetu budes muset asi pouzit spis nejake VPN (asi nejelpe OVPN proti Linuxu).

FATBOZZ: no to prave si myslim, ze ten jejich ssh klient je jenom nejaka orezana verze, ktera podporuje -L ale ne -R...

POTRAT: místo -R tam maji -L ... nebude v tom zakopány pes ?

Cau,
chtel bych na mikrotiku(RouterOS 6.27) pustit reverzni ssh tunel, ale nejak mi to nejde. Naimportoval jsem klice a pak zkousim:
/system> ssh uzivatel@domena -R PORT_TAM:192.168.1.184:PORT_TADY
expected end of command (line 1 column 23)

tady - http://wiki.mikrotik.com/wiki/Manual:IP/SSH - se vytahujou, ze to jde, ale asi jenom zrovna to forwardovani co ukazujou nebo delam nekde neco spatne.

z linuxovyho kompu ten uvedenej prikaz udela co ma bez problemu.

tak nevim, mate sklep?

jako ja to vozivil v pohode, stahnu sem sdk a zkompilovat si vlastni openwrt....ale stabilita behu cehokoliv je trahgicka, bud se ten "virtual" svihne s kernel panickem, nebo se restartne pro jistotu celej mikrotik

CHOROBA: Ja to zkousel na 5.xx a nikdy jsem to poradne neobzivil :/

bmw. honite nekdo metarouter? mi zatim fascinuje, jak je to nestabilni

Ted (teda v rijnu jeste o poznani levneji) jsem poridil dva Mikrotiky CCR1016 a teprve ted jsem se dostal k nasazeni prvniho a ten vykonovy skok mezi CCR a jednojadry me prekvapil (ikdyz se to doopravdy dalo cekat ;-) ). Pro me jsou to nasobky neumerne ani te cene.

RB450G u bezneho provozu na lince 40/40Mbps (+ linka 16/0.7 jako zaloha), cca 70 pravidel firewallu vc markovani (cast je tam dvakrat dle ISP) , netflow, openvpn/sstp, a vnitrni routovany provoz cca 25Mbps nonstop - pres pracovni den zatez CPU 15-50%, ale kdyz dojde na nocni zalohu dat pres tunel tak CPU vylitne na 100% a ovpn tunelem protece maximalne cca 19Mbps (testovano s jednim velkym souborem).

CCR1016 zatez pri tom samem bez netflow 1-2%, ale zatim je jen na jedne strane, az budou na obou a nastavene se vsim tak jsem zvedav jak to pobezi...
Ono pribude dost novych veci co budou muset behem roku zacit delat, ale ocividne vykonove rezervy jsou znacne...

RAINBOF: sem se voe uklik ;)

LEXXA: starej komp se seriakem, canon db9 konektor z gesu za 10kc, max232 ... je to pitomoucky http://www.swharden.com/blog/images/max232_serial_microcontroller.gif, USB kabel s bambuli ke starším telefonum...

CHOROBA: a tak jsi mu poradil paralelní port....

CHOROBA: zaplatit o 2 kila vic nez ebay mi prijde dost nesmyslne. mozna bych radsi pockal na bazmek z ciny. navic zas tak sebevedomej nejsem kdyz prijde na zapojovani malych sracu do jinych malych sracu

LEXXA: hele seriak sou dva draty - TX a RX. tak si skoc do ALZA pro usb to serial kabl
AXAGO ADP-40 | Alza.cz
http://www.alza.cz/axago-adp-40-d479735.htm
urizni normalni seriak a voila

simvas. nevim kde se tady zeptat tak zkousim tady.
povedlo se mi bricknout whitebox (wdr3600) a potreboval bych tento bazmek abych se dostal k seriove konzoli a natlacil fw.
samozrejme ze jsem si to objednal za tech 30kc ale nejak se mi nechce cekat.
tak jestli by to nekdo z prahy mel na pujceni za flasku vina nebo tak neco budu jedine rad.

takze vadny konkretni kus.. dnes dosel druhy kousek (muj) a kdyz se do nej dala SD karta, tak ta stejna instalace se chytla hned...

CHOROBA:
MICHNZEE:
v pondeli dojde druhy kousek, tak ho odzkousi, jak se to bude chovat a pokud by problem pretrvaval, tak bych nechal vygenerovat co rikate. Ja sam se v tom moc neorientuji, ale u nej si tak nejak myslim, ze asi uplnej amater nebude. Dam vedet, kousek uz lezi na poste

HAWKS: hoj, ja banana pi mam a funguje tam ethernet snad ve vsech distribucich co jsem zkousel, jak bananian, debian, android... Mel jsem tam 8GB SDHC a upgradoval jsem i na 64 SDHC a vsechno slape bez problemu. Navic na desce je modra dioda - ta oznacuje RX/TX na portu, mela by svitit nebo blikat.

provozujete někdo mikrotik 951 jako NASku ?
dal jsem si k tomu 2TB disk a mám několik problémů:
1.) lenost (což jsem ochoten tolerovat)
2.) občas nevidim přes smb všechny složky prostě se načte jen něco
3.) ztratila se mi nějaká data (dvě složky) a to se nemohlo stát nepozorovaně hlavně proto že byly plné souborů smazat by je trvalo věky.