odin2

учите матчасть, ссылки выше

абсолютно согласен, потому что мы все живём не в сферическом вакууме, надо читать инструкции и рекомендации а так же самому ориентироваться на новой местности, туда ходи, туда не ходи. воля Ваша, остальным рекомендую для понимания моей мотивации я у себя подправил ваши правила и сижу спокойно, чего и вам желаю !

если бы это был микротик, где все правила делаете ТОЛЬКО ВЫ то я с вами абсолютно согласен но вы пришли в "чужой монастырь" и вводите свои правила на считаясь с "местными" пример по нагрузке : откройте SMB шару и заливайте туда, смотрите нагрузку проца согласен, я начал тему с этого но потом расширил и это важнее чем нагрузка пример : атака специализированная на кинетики где обратным адресом стоят сервера Кинетика/Неткрейза и не только (ZeroTier ... )

настоятельно рекомендую, для новых мыслей, полистать https://manual.mikrotik.com/docs/firewall-and-quality-of-service/firewall/ микротик очень хорош для обучения но для боевого применения довольно стрёмен, потому что если плохо понял тему то будет очень печально кинетик хорош тем что за тебя реализовали все BEST PRACTIS главная задача всё это не поломать ещё кинетик хорош тем что это 2 в одном : человекопонятная вебморда и наличие подкапотья в виде opkg (entware) - просто чудо простой пример : как на локальном интерфейсе поднять второй и третий и ... ип адрес например на tp-lik d-link ? а в кинетике можно

ваши правила работают в среде NDM, так что связаны речь не столько в нагрузке сколько в "выстрелить себе в ногу" чтоб не заблокировать случайно нужные адреса, того же самого netcraze ( _NDM_ACL_IN_EXCEPTIONS ) ARM не у всех, на руках больше mips mipsel

изучаем цепочки NDM , путь прохождения пакета до открытых портов 80 443 : -A INPUT -j _NDM_INPUT -A _NDM_INPUT -i eth3 -m set --match-set _NDM_I4AL_eth3 dst -m ndmslin --slin 3 (public) -j _NDM_IP_PUBLIC -A _NDM_IP_PUBLIC -p tcp -m tcp --dport 80 -j ACCEPT -A _NDM_IP_PUBLIC -p tcp -m tcp --dport 443 -j ACCEPT итого 80й и 443 поты доступны для соединения ТОЛЬКО в цепочке _NDM_IP_PUBLIC, которая вызывается ПОСЛЕ _NDM_INPUT и INPUT вот я и предлагаю перенести фильтрацию в _NDM_INPUT перед открытыми портами

верно важно по прежнему чтоб трафик обратной петли и локальной сети не фильтровать в этом то и "цимес" что пакеты соединений прошедшие все проверки пропускаются без повторных проверок а если хотите новое соединение, то будьте добры пройти повторные проверки всё ради того чтоб не "выстрелить себе в ногу" - не блокировать отфильтрованные соединения представьте ситуацию : есть поликлиника (публичное заведение) туда ходят как сотрудники по пропускам так и посетители (посторонние) без пропусков человек с пропуском идёт по цепочке RELATED,ESTABLISHED новые посетители без пропуска, первый раз - ANTISCAN повторные посетители с талончиком на нужного врача идёт по цепочке RELATED,ESTABLISHED

концепция фильтрации : 1) пропустить все УСТАНОВЛЕННЫЕ / ИЗВЕСТНЫЕ (из белого списка) соединения (99% трафика) 2) отфильтровать НОВЫЕ соединения (1% трафика) 2.1) аномальные (обнаружение сканирования ....) (0.9% трафика) 2.2) нормальные (желающие подключится к открытым портам) (0.1% трафика) главное чтоб по выше стояло что часто срабатывает, а потом по мере уменьшения чтоб было минимум холостых срабатываний при малой нагрузке холостые срабатывания могут быть несущественны но при больших могут стать заметными но тут важнее ИЗВЕСТНЫЕ (из белого списка) чтоб "не выстрелить в ногу" у вас есть белый список, все ли его заполняют ? входят ли туда адреса от _NDM_ACL_IN_EXCEPTIONS ?

отключи встроенный ssh, стучись на 22 в крайнем случае через "накопители и устройства" скачай файл /opt/etc/config/dropbear.conf измени порт на желаемый верни файл на место в разделе OPKG выбери "основные настройки" - "не выбран", сохрани и снова в разделе OPKG выбери "основные настройки" - выбери накопитель с OPKG, сохрани (подсистема перезапустится) пробуй подключатся

уточняю, это ко мне предложение ? я не в курсе что такое MR у себя на роутерах я подправил правила и имена цепочек просто хотел улучшить сам проект

я на микротиках вообще в таблице RAW блокирую обнаруженные сканеры - чёрный список но только при наличии белого списка и белый список стоит первым потому что я могу своими тестами себя загнать в чёрный список так что вот так важный нюанс в белом списке должен быть шлюз провайдера потому что злоумышленники могут провести атаку с обратным адресом шлюза и у вас частично отвалится интернет, а вы долго не сможете понять почему так.

ну и пусть, зачем то же они там стоят ? и даже не важно что они там стоят потому что 99% трафика прекращает фильтроваться на правиле --state RELATED,ESTABLISHED -j ACCEPT и только всё остальное имеет смысл фильтровать

почитайте названия цепочек, что напоминает ?

здесь ключевое правило -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # уже установленные соединения оно разгружает тем что пропускает пакеты уже установленных соединений то-есть 99% трафика заканчивается на этом правиле если вы начнёте что-то активно прогонять через роутер, даже внутри роутера на lo, то ваш проц напряжётся проверяя КАЖДЫЙ , КАРЛ, пакет ВСЕХ соединений. потому что будет всегда срабатывать одно ваше правило (этого достаточно), проверка на интерфейс, даже не заходя в цепочки, но будет 100% выполнятся как раз в цепочке INPUT стоят "классические/стандартные правила" и вот их как раз таки не стоит трогать, иначе можно "выстрелить себе в ногу" по этому рекомендую фильтрацию уже после "классических/стандартных правил" _NDM_FORWARD просто поинтересуйтесь составом этой цепочки там всего одно правило перехода на следующую цепочку явно специально заготовленная цепочка - местодержатель, для таких случаев как здесь с _NDM_INPUT думаю также, хотя там правил по более зачем вам реагировать на широковещалку ? а проц будет нагружатся или например обращение на обратную петлю (lo) зачем фильтровать ? а проц будет нагружатся да не много нагружаться, но при большом трафике может с играть роль просто надо держать тонкий баланс между паранойе и производительностью (здравым смыслом), доверяйте фильтрам от NDM

просьба к разработчикам переставить правила iptables из цепочки : INPUT в _NDM_INPUT FORWARD в _NDM_FORWARD зачем ? для того чтоб обезопасить себя и служб netcraze/keenetic от бана снаружи а так же ускорить работу фаервола тем чтоб фильтр применялся только к НОВЫМ ОТФИЛЬТРОВАННЫМ соединения а сейчас правило реагирует на каждый пакет потому что стоит перед правилами -A INPUT -d 224.0.0.0/4 -p udp -j _NDM_MULTICAST_INPUT # широковешалка -A INPUT -p igmp -j ACCEPT -A INPUT -j _NDM_ACL_IN_EXCEPTIONS -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT # уже установленные соединения -A INPUT -i lo -j ACCEPT -A INPUT -j _NDM_BFD_INPUT -A INPUT -j _NDM_ACL_IN -A INPUT -j _NDM_IPSEC_INPUT_FILTER -A INPUT -j _NDM_TUNNELS_INPUT -A INPUT -m state --state INVALID -j DROP # откинуть испорченные -A INPUT -m conntrack --ctstate DNAT -j ACCEPT я в своём решении portknok именно так и сделал а также назвать цепочки _ANTISCAN как у _NDM для удобства

суперское решение греатсенкс что подсказал собрал бинарник под mipsle и всё пашет как часы на роутере крутится "вышибала" а на сервере (windows server), за роутером, само ядро "crowdsec" осталось только прикрутить вебморду

сам спросил, сам отвечаю (напросился:) в том архиве по пути /etc/dropbear/ лежит 3 файла : dropbear_rsa_host_key dropbear_ed25519_host_key dropbear_ecdsa_host_key а в оригинальном архиве только два : dropbear_rsa_host_key dropbear_ed25519_host_key ------------------------------------- решение !!! нашёл ип адрес узла bin.entware.net - 158.160.45.54 в разделе маршрутизация прописал жёсткий маршрут к этому ип на тунель за которым всё открыто ------------------------------------ обнаружена ошибка в конфигурационном файле dropbear.conf PORT=22 должно быть PORT=222 не забудьте исправить. установка завершилась успешно ! всех поздравляю.

при установке из этого архива процесс останавливается с такими сообщениями как починить ?