первичная фильтрация входящего трафика

[zeran]

Добрый день. Не нашел на форуме. Имею прямой ip и соответсвенно, несколько сервисов с пробросом портов за мой keenetic. Обратный прокси (nginx) срезает переборы паролей. но не умеет фильтровать источники запросов. Можно ли как то ограничить входящие по стране или ещё какому то близкому параметру, что бы боты из Китая и некоторых соседних стран не долбились?

[mrGhotius]

2 часа назад, zeran сказал:

Добрый день. Не нашел на форуме. Имею прямой ip и соответсвенно, несколько сервисов с пробросом портов за мой keenetic. Обратный прокси (nginx) срезает переборы паролей. но не умеет фильтровать источники запросов. Можно ли как то ограничить входящие по стране или ещё какому то близкому параметру, что бы боты из Китая и некоторых соседних стран не долбились?

https://support.keenetic.ru/eaeu/hopper/kn-3810/ru/15597-firewall.html

[MDP]

3 часа назад, zeran сказал:

Добрый день. Не нашел на форуме. Имею прямой ip и соответсвенно, несколько сервисов с пробросом портов за мой keenetic. Обратный прокси (nginx) срезает переборы паролей. но не умеет фильтровать источники запросов. Можно ли как то ограничить входящие по стране или ещё какому то близкому параметру, что бы боты из Китая и некоторых соседних стран не долбились?

На некоторые сервисы есть защита от брутфорса ...они настраиваются 

https://help.keenetic.com/hc/ru/articles/115000400185-Функция-защиты-от-перебора-паролей-для-доступа-к-интернет-центру

[Le ecureuil]

Нет, сейчас нет возможности ограничить запросы по geoip или его аналогу.

[hhrhhr]

Такая же беда, белый IP, пробросом портов не пользуюсь, но включён мобильный клиент и KeeDNS с кучей доменов 4 уровня. Компонент "захват пакетов" по фильтру "dst host IP-ADDRESS and (dst port 80 or dst port 443)" фиксирует 10-20 тысяч соединений в час.
Если наблюдать за монитором соединений, то отмечается одиночное соединение на 80 порт, затем сотня-другая соединений на 443 порт. Встроенные lockout-policy не фиксируют перебора паролей к веб-интерфейсу, захват пакетов при анализе в Wireshark не показывает обращений по доменному имени, однако эти соединения бесят неимоверно.

Если начать блокировать встроенным брандмауэром целыми подсетями, то это спасает на час-другой. Потом просто меняются адреса этих любознательных ресурсов. Второе вложение — список подсетей за пару часов ручного блокирования...

Вариантов вижу два:

1. Установить через OPKG iptables и ipset, затем ручками добавлять подсети в список ipset и банить через iptables. Ессно, нужно сохранять эти списки и загружать их при включении маршрутизатора
2. Создать белый список в брандмауэре для доступа к 80/443 только нужных внешних ресурсов. Но тут нужно знать диапазоны сетей самого Кинетика, служб мобильного клиента, RMM, ну и адреса, через которые работает сам KeeDNS (получение/продление SSL-сертификата и тд).

От отчаяния уже перестал использовать KeeDNS по назначению, для доступа к ресурсам локальной сети использую исключительно Wireguard.

 

ipset_block_wan.txt

Изменено Суббота в 20:13 пользователем hhrhhr

[FLK]

9 минут назад, hhrhhr сказал:

Такая же беда, белый IP, пробросом портов не пользуюсь, но включён мобильный клиент и KeeDNS с кучей доменов 4 уровня. Компонент "захват пакетов" по фильтру "dst host IP-ADDRESS and (dst port 80 or dst port 443)" фиксирует 10-20 тысяч соединений в час.
Если наблюдать за монитором соединений, то отмечается одиночное соединение на 80 порт, затем сотня-другая соединений на 443 порт. Встроенные lockout-policy не фиксируют перебора паролей к веб-интерфейсу, захват пакетов при анализе в Wireshark не показывает обращений по доменному имени, однако эти соединения бесят неимоверно.

Если начать блокировать встроенным брандмауэром целыми подсетями, то это спасает на час-другой. Потом просто меняются адреса этих любознательных ресурсов.

 

Да, это тоже меня подбешивает, но у меня не в таких масштабах)

 

Изменено Суббота в 20:21 пользователем FLK