dimon27254
-
Постов
1 572 -
Зарегистрирован
-
Посещение
-
Победитель дней
103
Тип контента
Профили
Форумы
Галерея
Загрузки
Блоги
События
Сообщения, опубликованные dimon27254
-
-
-
2 часа назад, Nosferatus сказал:
Прошу подсказать, в чем проблема?
/opt/etc/init.d/S99ascn read_ndm_ipsets
/opt/etc/init.d/S99ascn: line 493: : bad variable nameЭто ошибка в коде Антискана. Спасибо за репорт!
На работу механизма считывания адресов из списков NDMS не влияет, но привносит не очень красивые сообщения в консоль.
Будет исправлена в версии 1.10.2.
-
1
-
2
-
-
В 16.04.2026 в 15:28, keenet07 сказал:
Единственный момент, в одном сегменте одновременно работать может только две разные точки доступа с разными диапазонами. Создать можно много, но работать будут не более двух. Т.е. если одна работает в 2.4, то другой можно выбрать только 5. У меня была одна ТД работающая сразу в друх диапазонах, когда я добавил в этом же сегменте ещё одну ТД, и выбрал для неё 5 диапазон, то в первой ТД он отключился, она стала only 2.4. Это какое-то фундаментальное ограничение? Нельзя, чисто теоретически, в одном сегменте создать три ТД с разными SSID работающими во обоих диапазонах? И была ли вообще раньше такая возможность? Ну или две точки работающие только в 2.4 в одном сегменте?
На данный момент, судя по всему, это ограничение со стороны NDMS.
Если попытаться через CLI создать несколько mws wlan с одинаковым band и затем попытаться их все привязать к одному интерфейсу BridgeX, то система сообщит:
Может быть, нам могут пояснить @admin, @KoneTaH или @Infy, почему так было реализовано.
Вообще, конечно, было бы неплохо видеть нативную и удобную настройку дополнительных сетей для одного и того же диапазона и сегмента. Самый простой пример, где это может быть необходимо - сеть без FT для "капризных" устройств, которые по той или иной причине невозможно вынести в отдельный сегмент. Можно, конечно, попробовать "по-старинке", привязав к Bridge интерфейс AccessPoint, где убраны все "навороты", но как оно будет работать с появлением mws wlan - вопрос отдельный.
-
1
-
1
-
-
-
При переключении с одного модема на другой для просмотра SMS, наблюдается небольшая задержка в получении сообщений. Сейчас все выглядит так, как будто страница подвисает, или же не было реакции на клик:
СпойлерПредлагаю добавить лоадер для такого случая.
Проверял на NC-2312 с 5.1 Beta 1.
-
-
В настройках ретранслятора имеется всплывающая подсказка, в которой описана возможность отключения детектора топологии.
Однако, данный функционал никуда не выведен в веб-интерфейсе. В настройках назначения портов никаких упоминаний нет:
Возникает вопрос - управление детектором топологии отсутствует в вебе по ошибке, или же его и не планируется выносить в удобном виде для пользователя?
Проверял в 5.1 Beta 1.
-
1
-
-
-
В веб-интерфейсе ретранслятора не показывается сеть Wi-Fi, привязанная к "гостевому" сегменту.
Она отсутствует в карточке "Мои сети и Wi-Fi" на дашборде:
Спойлер
Также её нельзя найти на странице сегмента:
Спойлер
Зато она имеется на новой странице "Точки доступа", однако показывается не привязанной к какому-либо сегменту:
Спойлер
Проверял на KN-3210 с 5.1 Beta 1.
-
1
-
2
-
-
На территории РФ начали наблюдаться перебои в работе GitHub, в связи с чем установка Антискана может быть затруднена.
Стоит напомнить, что с ноября 2025 работает bin.antiscan.ru - репозиторий Антискана на территории России, откуда вы также можете скачать актуальную версию пакета.
Инструкция по переходу с GitHub-репозитория приведена в сообщении:
-
4
-
-
Подтверждаю исправление в 5.0.11. Спасибо!
-
1
-
-
В 02.05.2026 в 00:17, Darkus сказал:
Добрый вечер, подскажите а можно ли в файле ascn_custom_exclude писать комментарии? например айпишнику через # написать что это сайт мониторинга и тд? И думаю в целом было бы удобнее если бы в самих файлах например через # были описаны строки с параметрами, что за что отвечает
Добрый день!
1. Начиная с версии 1.10.1 в ascn_custom_exclude можно использовать комментарии, Антискан такой список успешно обработает:
Цитата# 1234567890
1.1.1.1
2.2.2.2/32 # test123
#test test test
Самое главное, чтобы перед адресами в строке не было пробелов и любых иных символов - такие записи Антискан проигнорирует.
2. Перед релизом первой версии Антискана я пробовал использовать комментарии к строкам конфига, однако с отображением кириллицы возникали проблемы, поэтому я полностью отказался от каких-либо пояснений. Все описание вынес на первую страницу данной темы, а также на GitHub.
-
1
-
-
Новая версия 1.10.1.
Исправления:
1. При проверке конфига ascn.conf не учитывался включенный honeypot (ENABLE_HONEYPOT=1) и отсутствующие порты (HONEYPOT_PORTS="") (сообщил @lesha_leshin).
2. Импорт пользовательских списков, содержащих пустые строки, завершался ошибкой (сообщил @Fat32alist).
3. Вызов команды antiscan reload мог привести к потере накопленных адресов в списках ascn_honeypot (блокировка по ловушке) и ascn_ndm_lockout (блокировка по ip lockout-policy).
4. При обновлении с предыдущих версий не создавалась задача на обновление списков подсетей стран.-
5
-
2
-
-
14 часов назад, Darkus сказал:
Помогите разобраться. Версия 1.10, налетело много пакетов от разных ip адресов, долбились в порты которые у меня в конфиге не были указаны. Я вручную добавил подсети в файл ipset_ascn_subnets, сохранил и перезапустил антискан. Открытые соединения с этих ip не заблокировались, так и висят. Как при блокировке ip адресов/подсетей вручную их можно закрыть? После того как этот файл не помог, добавил подсети в ascn_custom_blacklist, тоже не помогло, как и указание портов в honeypot
Решили проблему с @Darkus.
Имелись небольшие неточности в списке портов, а также создан файл пользовательского черного списка, но его использование не было включено в конфиге (CUSTOM_LISTS_BLOCK_MODE=0).
-
3
-
-
В 27.04.2026 в 15:53, lesha_leshin сказал:
Коллеги, приветствую. Утилита стоит и работает, но в логах периодически замечаю строку:
Opkg::Manager: /opt/etc/ndm/netfilter.d/099-ascn.sh: exit code 2.
Не направите, как исправить?
Модель nc-1812 на прошивке 5.0.10.
На основе полученных от @lesha_leshin диагностических данных было определено, что проблема оказалась во включенном honeypot (ENABLE_HONEYPOT=1) и неуказанных для него портах (HONEYPOT_PORTS="").
Алгоритм проверки списка портов будет улучшен в следующих релизах.
-
1
-
3
-
-
2 минуты назад, Darkus сказал:
Напишу только те что переадресуются. Веб интерфейс кинетика у меня в интернет не смотрит, только туннель через vpn)
Порты: 25565, 35005, 8080, 26900, 7777, 2022, 29575, 25, 587, 993
Покажите, пожалуйста, правила переадресации из веб-интерфейса скриншотом.
-
1 минуту назад, Darkus сказал:
ISP_INTERFACES="eth3"
PORTS=""
PORTS_FORWARDED="22,25,53,8080,25565,35005"
ENABLE_HONEYPOT=1
HONEYPOT_PORTS="21,23,80,88,443,445,3306"
HONEYPOT_BANTIME=0
ENABLE_IPS_BAN=1
RULES_MASK="255.255.255.255"
RECENT_CONNECTIONS_TIME=120
RECENT_CONNECTIONS_HITCOUNT=6
RECENT_CONNECTIONS_LIMIT=6
RECENT_CONNECTIONS_BANTIME=0
DIFFERENT_IP_CANDIDATES_STORAGETIME=864000
DIFFERENT_IP_THRESHOLD=3
SUBNETS_BANTIME=0
IPSETS_DIRECTORY="/opt/antiscan"
SAVE_IPSETS=1
SAVE_ON_EXIT=1
USE_CUSTOM_EXCLUDE_LIST=1
CUSTOM_LISTS_BLOCK_MODE=0
GEOBLOCK_MODE=0
GEOBLOCK_COUNTRIES=""
GEO_EXCLUDE_COUNTRIES=""
READ_NDM_LOCKOUT_IPSETS=1
LOCKOUT_IPSET_BANTIME=864000
И теперь напишите список портов, которые используются вашими сервисами. И используются ли для них правила переадресации портов.
-
2 минуты назад, Darkus сказал:
Помогите разобраться. Версия 1.10, налетело много пакетов от разных ip адресов, долбились в порты которые у меня в конфиге не были указаны. Я вручную добавил подсети в файл ipset_ascn_subnets, сохранил и перезапустил антискан. Открытые соединения с этих ip не заблокировались, так и висят. Как при блокировке ip адресов/подсетей вручную их можно закрыть? После того как этот файл не помог, добавил подсети в ascn_custom_blacklist, тоже не помогло, как и указание портов в honeypot
Блокировка будет только для портов, которые указаны в PORTS и PORTS_FORWARDED.
На все остальные порты соединения продолжат проходить в обычном режиме. Покажите ваш конфиг.
-
13 минут назад, Darkus сказал:
Очень жаль, если бы каждому порту можно было выставить индивидуальные настройки, было бы очень удобно. К сожалению когда куча сервисов, невозможно подобрать единственно правильную конфигурацию, чтобы подходила ко всем. Можете подсказать, это труднореализуемо?
Прежде всего, индивидуальная настройка каждого порта будет невероятно неудобной в конфиге.
15+15 портов, и по 4 варианта параметров для каждого - получаем минимум 120 строк.
Во вторых, каждая индивидуальная настройка будет за собой тянуть отдельное правило iptables.
В процессе смены состояния интернет-подключений, обновления IP адресов или же по каким-то внутренним таймерам, NDMS эти правила будет затирать, а Антискан пытаться сразу же восстановить. Если правил 15-20, как сейчас, это работает довольно неплохо.
Однако, нужно учесть, что кроме Антискана у вас в Entware могут быть установлены и другие сервисы, которые тоже будут восстанавливать свои правила после действий NDMS. Когда появится ещё 30 правил ради индивидуальной настройки портов - никакой гарантии нормальной работы я дать не могу.
Поэтому реализовано не будет.
-
1
-
-
17 минут назад, Darkus сказал:
Добрый день.
Вопрос 1: А есть возможность для "PORTS" и "PORTS_FORWARDED", реализовать такую возможность: чтобы каждому вписанному порту можно было задать индивидуальные настройки параметров
RECENT_CONNECTIONS_TIME=
RECENT_CONNECTIONS_HITCOUNT=
RECENT_CONNECTIONS_LIMIT=
RECENT_CONNECTIONS_BANTIME=У меня к примеру много сервисов, веб сервер, почтовик и игровые сервера. Допустим человеку чтобы подключиться к игровому серверу нужно отправить 2-3 пакета (явно больше одного), а на веб сервер достаточно и одного пакета.
Просто например если у игрока будут проблемы с интернетом и его будет отключать от сервера, он по-любому будет пытаться перезайти и не один раз. А при настройке "RECENT_CONNECTIONS_HITCOUNT=10" его в бан кинет уже при 2-3 подключении.
Вопрос 2: возможно ли настроить для honeypot автоматический скан закрытых портов и автодобавление диапазонов? Допустим открыты порты по всей длине 80 - 65535, в абсолютно разных участках, и вручную добавлять по участку (когда у тебя может выйти 100 диапазонов таким образом), неудобно. (Ну и очень жаль что ограничение имеется в 15 портов/диапазонов,хотя бы для honeypot нельзя как-то это разделить, чтобы можно было больше вписать? Как с PORTS и PORTS_FORWARDED)
Добрый день!
Вынужден огорчить, но это реализовано не будет.
Рекомендую подобрать такие параметры, чтобы они соответствовали сразу всем вашим сервисам.
По игровым сервисам - если они работают по протоколу UDP, то Антискан их никаким образом не защитит. Протокол UDP не поддерживается, только TCP.
-
1
-
-
4 минуты назад, lesha_leshin сказал:
Версия Antiscan: 1.10 Статус: работает Заблокировано адресов: 275 Заблокировано подсетей: 100 Заблокировано ловушкой: 0 Чтение списков NDMS: отключено Пользовательские списки не активны Режим геоблокировки: отключена Исключения по странам: RU
Вижу, что версия у вас стоит самая последняя. Можете, пожалуйста, прислать в личные сообщения лог с Кинетика, где имеются данные сообщения?
-
1
-
-
В 27.04.2026 в 15:53, lesha_leshin сказал:
Коллеги, приветствую. Утилита стоит и работает, но в логах периодически замечаю строку:
Opkg::Manager: /opt/etc/ndm/netfilter.d/099-ascn.sh: exit code 2.
Не направите, как исправить?
Модель nc-1812 на прошивке 5.0.10.
Добрый день! Какая у вас установлена версия Antiscan?
-
1
-
-
Давненько я ещё предлагал вариант шейпинга
-
4
-
-
Скорее всего, пока что мы данную возможность не увидим:
-
1
-
Antiscan - выявление и блокировка подозрительных IP
в Каталог готовых решений Opkg
Опубликовано
Сессии атакующих должны у вас исчезнуть примерно через несколько минут, когда система автоматически их удалит по собственным таймерам.
Это реализовано не будет. Сбросом сессий занимается NDMS и ядро Linux по своей внутренней логике, в этот процесс я вмешиваться не буду.