Dotazy - Mikrotik + Ubi - Firewall, hostovska siet, VLAN

[googler2]

Zdravim som relativne novy uzivatel Mikrotiku a mam par nejasnosti a dotazov aj ked s niecim mi uz pomohli na inych forach aj tu tak este si nieco potrebujem ujasnit.
Moja siet vyzera momentalne takto:

VDSL modem v rezime bridge zapojeny do routeru Mikrotik RB3011UIAS v porte ETH1. Samotny internet sa vytaca na Mikrotiku cez vytvoreneho PPPoE klienta (premenovany na WAN)

Manazovatelny switch TPlink zapojeny do routeru ETH2. v routery mam nastaveny jeden bridge v ktorom su prebridgovane porty ETH2 - ETH5 (premenovany na LAN) zatial ale vyuzivam z bridgeu len ETH2 v ktorom je TPlink switch. V bridgei je povoleny HW offload.

V TPlink switchi su zapojene vsetky ethernet koncove zariadenia spolu s 1x AP Ubiquiti nanoHD + 1x AP Ubiquiti Mesh (vonkajsi) + dalsi TPlink switch ktory je na druhom poschodi a su v nom zapojene koncove zariadenia (dva servery) z druheho poschodia. Ten switch na druhom poschodi je ale nemanazovatelny

Prva vec ktorej asi uplne nerozumiem je firewall - Pravidla mam nastavene takto (pri dropovovacich pravidlach je zapnute logovanie):

Kód: [Vybrat]

/ip firewall filter> print             Flags: X - disabled, I - invalid, D - dynamic 0    ;;; Accept established and related packets      chain=input action=accept connection-state=established,related log=no log-prefix=""

1    ;;; Accept all connections from local network      chain=input action=accept in-interface=LAN log=no log-prefix=""

2    ;;; Accept established and related packets      chain=forward action=accept connection-state=established,related log=no log-prefix=""

3    ;;; Drop invalid packets      chain=input action=drop connection-state=invalid log=yes log-prefix="invalid-input"

4    ;;; Drop all packets which are not destined to routes IP address      chain=input action=drop dst-address-type=!local log=yes log-prefix="input-not-destinated-for-route-ip"

5    ;;; Drop all packets which does not have unicast source IP address      chain=input action=drop src-address-type=!unicast log=yes log-prefix="input-no-unicast-ip"

6    ;;; Drop all packets from public internet which should not exist in public network      chain=input action=drop src-address-list=NotPublic in-interface=WAN log=yes log-prefix="input-from-wan-but-should-no-exist"

7    ;;; drop DNS      chain=input action=drop protocol=udp in-interface=WAN dst-port=53 log=yes log-prefix="drop-dns"

8    ;;; drop DNS      chain=input action=drop protocol=tcp in-interface=WAN dst-port=53 log=yes log-prefix="drop-dns"

9    ;;; Drop invalid packets      chain=forward action=drop connection-state=invalid log=yes log-prefix="forward-invalid"

10    ;;; Drop new connections from internet which are not dst-natted      chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=WAN log=yes log-prefix="forward-new-wan-but-not-dst-nat"

11    ;;; Drop all packets from public internet which should not exist in public network      chain=forward action=drop src-address-list=NotPublic in-interface=WAN log=yes log-prefix="forward-wan-but-should-not-exist-in-public-net"

12    ;;; Drop all packets from local network to internet which should not exist in public network      chain=forward action=drop dst-address-list=NotPublic in-interface=LAN log=yes log-prefix="forward-LAN--but-should-not-exist-in-public-net"

13    ;;; Drop all packets in local network which does not have local network address      chain=forward action=drop src-address=!lan.adresa.siete.0/24 in-interface=LAN log=yes log-prefix="forward-LAN-but-no-lan-ip"

14    ;;; Drop new connections from internet which are not dst-natted      chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=WAN log=yes log-prefix="forward-new-from-WAN-but-not-dst-nated"

Kód: [Vybrat]

ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic
0    chain=srcnat action=masquerade src-address=lan.adresa.siete.0/24 out-interface=WAN log=no log-prefix=""

1    chain=dstnat action=dst-nat to-addresses=lan.ip.adresa.servera to-ports=443 protocol=tcp dst-address=wan.ip.adresa.routera in-interface=WAN dst-port=443 log=no log-prefix=""
Vsetky pravidla by mali zodpovedat zakladnym pravidlam ktore doporucuje Mikrotik na Wiki webe okrem pravidla tykajuceho sa DNS ktore som pridal sam pretoze router pouzivam na ucely DNS. Tiez som pridal natovany port 443.

Log pri tychto pravidlach vyzera takto:

Kód: [Vybrat]

18:06:09 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 92.118.37.70:50792->wan.ip.adresa.routera:3415, len 40
18:06:11 firewall,info forward-invalid forward: in:LAN out:WAN, src-mac XXXXX, proto TCP (RST), lan.ip.adresa.zariadenia:51742->17.142.171.9:443, len 40
18:07:41 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 185.176.27.18:55490->wan.ip.adresa.routera:7001, len 40
18:07:44 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 5.188.86.114:53104->wan.ip.adresa.routera:33852, len 40
18:07:52 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 198.108.66.80:18098->wan.ip.adresa.routera:443, len 40
18:07:52 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 198.108.66.80:18098->wan.ip.adresa.routera:443, len 40
18:08:38 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 89.248.160.193:42224->wan.ip.adresa.routera:7598, len 40
18:09:44 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 5.188.86.114:53104->wan.ip.adresa.routera:3254, len 40
18:10:44 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 92.119.160.125:45001->wan.ip.adresa.routera:10249, len 40
18:10:52 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 185.175.93.45:53727->wan.ip.adresa.routera:3386, len 40
18:11:09 firewall,info forward-invalid forward: in:LAN out:WAN, src-mac XXXXX, proto TCP (RST), [b]lan.ip.adresa.zariadenia[/b]:51744->17.252.91.246:443, len 40
18:11:09 firewall,info forward-invalid forward: in:LAN out:WAN, src-mac XXXXX, proto TCP (RST), [b]lan.ip.adresa.zariadenia[/b]:51744->17.252.91.246:443, len 40
18:11:34 firewall,info forward-invalid forward: in:LAN out:WAN, src-mac XXXXX, proto TCP (RST), [b]lan.ip.adresa.zariadenia[/b]:51743->17.167.194.230:443, len 40
18:11:36 firewall,info forward-invalid forward: in:LAN out:WAN, src-mac XXXXX, proto TCP (RST), [b]lan.ip.adresa.zariadenia[/b]:51745->17.134.127.250:443, len 40
18:13:02 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 185.176.27.166:55523->wan.ip.adresa.routera:58700, len 40
18:13:39 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 185.222.211.114:55704->wan.ip.adresa.routera:3313, len 40
18:13:40 firewall,info invalid-input input: in:WAN out:(unknown 0), src-mac XXXXX, proto TCP (RST), 34.241.240.50:443->wan.ip.adresa.routera:51490, len 40
Log je z dnesneho dna. Podobne zaznamy sa opakuju v logu dlhodobo a ako vidite tak velmi casto a mozno sa mylim ale myslim si ze ak nejaka siet nastavena spravne tak pouzitie drop pravidla by mala byt anomalia ktora si vyzaduje pozornost hlavne preto ze su pouzite len pravidla doporucene samotnym mikrotikom a myslim si ze by mali zodpovedat standardnej prevadzke. Takze moja otazka teda znie: Je moj predpoklad spravny a mam nieco zle nastavene alebo je taketo dropovanie v praxi bezne a netreba sa tym zaoberat?
Dalsia otazka ktora sa tyka logu/firewallu je ze posledne dva zaznamy (ale aj dalsie) v logu sa tykaju mac adresy ktora sa uz niekolko dni nevyskytuje v mojej sieti (to zariadenie realne nie je na blizku). To znamena ze logicky toto zariadenie nemohlo poslat ziadny request do internetu ale ako je potom mozne ze nejaky server (konkretne censys.io) sa snazi spatne komunikovat s tymto zariadenim resp. s routerom ked to zariadenie je uz niekolko dni mimo siete?

Dalsia vec na ktoru sa chcem spytat sa tyka vytvorenia hostovskej siete pre wifi AP Ubi ktora bude izolovana od LAN. Cital som ze na tento a podobne ucely sa pouzivaju prave VLANy ale chce, sa spytat preco nie je lepsie na tento ucel vytvorit v mikrotiku dalsiu adresu resp. siet v casti /ip/addresses? Ak je to uplna blbost a nema to ziadne vyhody alebo by to ani nefungovalo napiste mi preco.
Keby som to teda riesil cez VLANy potreboval by som aby siet fungovala takto:

1. Normalna interna LAN v ktorej sa uvidia vsetky zariadenia (vratane servera)
2. Izolovana hostovska Wifi siet ktora vobec neuvidi zariadenia v LAN sieti pripadne hostia v tejto sieti uvidia len vybrane zariadenia z LAN siete ktore budem chciet zdielat (napr. tlaciaren).
3. Planujem na Mikrotiku spravit VPN tunel pre zabezpecene pripojenie z internetu do servera takze zrejme budem potrebovat tretiu VLANu pre VPN klientov tak aby po pripojeni do LAN nevideli vsetky zariadenia v sieti ale iba vybrany server

Da sa to spravit? Ako najlepsie a najbezpecnejsie? "topologiu" siete na zaciatku prispevku som napisal preto aby ste mi mohli poradit ak je niekde chyba alebo sa da nieco vylepsit (napr. asi je lepsie pouzit v sieti jeden switch ale ak su dva znamena to automaticky problem/spomalenie apod.?) Ak nie su dva switche problem ale zalezi na ich parametroch napiste mi to.
Diky za rady.

[Reklama]

[MikyM]

......
Log je z dnesneho dna. Podobne zaznamy sa opakuju v logu dlhodobo a ako vidite tak velmi casto a mozno sa mylim ale myslim si ze ak nejaka siet nastavena spravne tak pouzitie drop pravidla by mala byt anomalia ktora si vyzaduje pozornost hlavne preto ze su pouzite len pravidla doporucene samotnym mikrotikom a myslim si ze by mali zodpovedat standardnej prevadzke......
...........
Dalsia otazka ktora sa tyka logu/firewallu je ze posledne dva zaznamy (ale aj dalsie) v logu sa tykaju mac adresy ktora sa uz niekolko dni nevyskytuje v mojej sieti (to zariadenie realne nie je na blizku)..
............

Dalsia vec na ktoru sa chcem spytat sa tyka vytvorenia hostovskej siete pre wifi AP Ubi ktora bude izolovana od LAN. Cital som ze na tento a podobne ucely sa pouzivaju prave VLANy ale chce, sa spytat preco nie je lepsie na tento ucel vytvorit v mikrotiku dalsiu adresu resp. siet v casti /ip/addresses?
Ak je to uplna blbost a nema to ziadne vyhody alebo by to ani nefungovalo napiste mi preco.
......

Ahoj,
celkem hodne obecnych otazek. Nemam dnes uz bohuzel moc casu.

Zkusim strucne:

1) Pokud v Mikrotiku hodis na WAN obecna pravidla typu drop + logovani tak to bude generovat hromadu zaznamu.
2) mac adresy ktora sa uz niekolko dni nevyskytuje - pouzij nastroj torch a mrkni se odkud to pochazi a co se deje.
3) Pokud vytvoris jen novy rozsah na eth2/bridge tak nedosahnes oddeleni. Musel by jsi eht3 vytahnout z bridge, dat mu novy rozsah a propojit naprimo s AP. VLANy umoznuji soubeh nekolika siti na jednom kabelu, ktere jsou vsak oddelene prave VLAN tagem. K tomu aby to fungovalo je treba mit aktivni prvky, ktere s tim dokazi pracovat. Na MK pote muzes pro guest sit nadefinovat VLAN, dat ji rozsah a definovat pravidla kam je pustis atd.  AP od UBNT by melo umet vytvorit virtualni AP a SSID priradit konkretni VLAN.

Projdi zdejsi vlakna, veskere vzpominane veci se tady urcite uz resily nekolikrat...

[googler2]

1. Takze podla teba je taky casty vyskyt invalid packetov normalny a netreba to riesit?
2. Tu mac adresu som pre istotu "vyriesil tak ze som ju vymazal z whitelistu.
3. Skusim tie VLANy trosku zjednodusit a napisat v kratkych bodoch co chcem docielit ale neviem ci sa to da v ramci mojej topologie:

- V privatnej LAN sa uvidia uplne vsetky zariadenia
- v hostovskej budu viditelne len niektore vybrane zariadenia (koncove zariadenia uvidia napr. len tlaciaren)
- VPN klienti uvidia zase len ine vybrane zariadenia (VPN klienti uvidia napr len jeden server ale druhy nie)

[MikyM]

1. Takze podla teba je taky casty vyskyt invalid packetov normalny a netreba to riesit?

Tohle dle dostupnych informaci nedokazi plne posoudit. Take zalezi zda mas problemy s vypadky sluzeb/spojeni.
Na MK pouzivas NAT a smerovani portu na svuj server pricemz mas definovany bridge i kdyz jej zatim nepotrebujes. V logu je videt kod RST. Jedna z moznych pricin muze byt, ze spojeni uz router nema v pameti a nedokaze tak paket priradit cimz dojde k dropnuti - invalid. Dle vypisu z FW fasttrack nepouzivas. Ohledne pravidel FW tak zdroj Mikrotik WiKi nebyva uplne casove konzistentni presneji obcas narazis pri proklikavani na rozpory nez dojde k aktualizaci.  https://forum.mikrotik.com/viewtopic.php?t=143712

3. Skusim tie VLANy trosku zjednodusit a napisat v kratkych bodoch co chcem docielit ale neviem ci sa to da v ramci mojej topologie:

- V privatnej LAN sa uvidia uplne vsetky zariadenia
- v hostovskej budu viditelne len niektore vybrane zariadenia (koncove zariadenia uvidia napr. len tlaciaren)
- VPN klienti uvidia zase len ine vybrane zariadenia (VPN klienti uvidia napr len jeden server ale druhy nie)

Ano jde to udelat a zpusobu je vice.

Chtel jsi VLANy tak rychly neuplny priklad.
Na MK,TP-Link managed switch, UBNT AP vytvoris 2 VLANy, treba 100 a 200. Jedna bude pro domaci a druha pro hosty.
Na UBNT AP vytvoris nove virtualni AP SSID a nasledne kazdemu SSID priradis odpovidajici VLAN (100 domaci,200 host).
TP-Link switch, ktery je managed musis nastavit tak aby port, ktery je pripojen k MK byl clenem obou VLAN a bude typu trunk. Porty do kterych jsou pripojeny AP musi byt rovnez cleny obou VLAN (tagged). Na porty ke kterym jsou pripojena ostatni zarizeni vcetne unmanaged switche nastavis clenstvi ve VLAN 100 pote nadefinujes aby odchozi provoz ze switche na techto portech byl untaged (bez VLAN tagu) a zaroven aby prichozi provoz na tyto porty byl oznacen a zarazen do VLAN 100.

V Mikrotiku potes budes mit 2 VLANy tvarici se jako interface. Pojmenuj si je, nastav na nich rozsahy, spust DHCP, nadefinuj pravidla atd.
Jde to udelat i jen s jednou VLAN slouzici ciste pro guest WiFi. Postup je podobny s mensim rozdilem, na switchi nadefinujes jednu VLAN pro guest a porty ktere nejsou zapojene do AP a MK budou mit nastaveno pro VLAN 200 pravidlo excluded.

V pripade VPN vytvor uzivatele, pridel jim staticke adresy a nadefinuj pravidla kam smeji a kam ne.

Pro podrobnejsi informace prohledej forum.

[MikyM]

Napis jeste typ TP-Link managed switche a verzi RouterOS.
U switche si nezapomen ohlidat managed vlan.

Ja chystrejsi TP-linky switche nepouzivam a nevim co vse umi/neumi.
Znalejsi necht prosim doplni tyto informace pripadne at me opravi pokud jsem se nekde sekl.

Pekny vikend vsem :-)

[Reklama]

[darebacik]

Ako funguju VLANy, GUEST siet atd ... je vysvetlene v tejto prednaske. Aj ked chalanovi to nefungovalo celkom korektne a niekde sa poplietol na vlanach, ale video je celkom poucne
https://www.youtube.com/watch?time_continue=1&v=DXR65VWLQCs
popis je pre openwrt  v LUCI, ale principialne je to jedno

[googler2]

Napis jeste typ TP-Link managed switche a verzi RouterOS.
U switche si nezapomen ohlidat managed vlan.

no zistil som ze ten "hlavny" switch co pouzivam ( TL-SG1016PE) sa sice tvari ako mgmt switch ale v nastaveniach VLAN nie je nic take ako trunk, access alebo hybrid port takze budem musiet hladat este alternativu tychto nastaveni v tom switchi.
RouterOS 6.44.3 stable

[googler2]

v prispevku vyssie som zabudol napisat ze problemy s vypadkami nemam. Co sa tyka fw islo mi len o to aby som pouzil dobre pravidla z pohladu bezpecnosti, ale pozeral som ten topic ktory si linkoval a zda sa mi ze mam pouzite dobre pravidla lebo pravdepodobne vsetky sa spominaju v tom topicu. Takze asi len vypnem logovanie u niektorych z nich

[MikyM]

no zistil som ze ten "hlavny" switch co pouzivam ( TL-SG1016PE) sa sice tvari ako mgmt switch ale v nastaveniach VLAN nie je nic take ako trunk, access alebo hybrid port takze budem musiet hladat este alternativu tychto nastaveni v tom switchi.

Dle informaci na strankach vyrobce by to mel zvladnout. Jen rozhrani a dostupna menu vypadaji jinak nez na prikladu https://www.tp-link.com/cz/support/faq/328/ vs https://static.tp-link.com/2019/201904/20190412/1910012537_Easy%20Smart%20Switch_UG.pdf

[googler2]

Oproti tomu co som pisal v prvom prispevku som z MK vymazal bridge (pretoze nemam vlastne co bridgeovat - diky za radu a port ETH2 som premenoval na LAN.
Vlany na tplinku a MK som nastavil a zatial je vysledok taky ze na kabloch mi net ide ale na UBNT APckach nie. Neviem preco - pripojim sa aj na guest aj na privat ale net nejde + na wifi klientoch mi neprideli ip podla dhcp poolu v MK ale nejaku "nahodnu ip. Navyse wifi klienti su v inej podsieti (mali by byt v 255.255.255.0 ale su v 255.255.0.0) takze ani nemam ako otestovat ci vlany splnia ucel oddelenej siete
NA MK som postupoval podla tohto videa: https://www.youtube.com/watch?v=T0y1F3JmSZc
s tym rozdielom ze ako adresy pre vlany som pouzil 192.x.x.x namiesto 10.x.x.x a WAN ip som nevytvaral lebo uz bola vytvorena automaticky (v MK sa zobrazuje okrem adries vlan aj verejna ip od isp) + som vytvoril pre obidve vlany dhcp server a pool cez dhcp setup v MK + do FW som doplnil forward pravidla na zakaz pristupu z guest do privatu

V pripade tplinku som postupoval podla tohto videa https://www.youtube.com/watch?v=T0y1F3JmSZc
V privatnej vlan su takovane len porty routera a APciek ostatne porty su untag. V guest Vlan su pridelene len tagovane porty routera a APciek (ziadne ine porty v gueste nie su)
Co sa tyka PVID tak v PVID 1 su porty routera a APciek. Spravil som to tak pretoze som iekde cital ze v TPlinku je PVID 1 nieco ako alternativa pre trunk Ostatne porty maju potom pridelene PVID privatu

V UBNT CTR som potom uz len v casti network vytvoril dve corporate siete s identickymi adresami vlan a pridelil som im vlan id a vypol DHCP. Nasledne som v casti Wireless network vytvoril dve SSID znova s prislunymi vlan id.
Stale mi ide net iba "po kabloch" ale cez AP nie. Skusal som aj moznost namiesto profilu corporate network pouzit profil vlan only ale ani to nepomohlo.

[googler2]

Opravujem sa - nie su v inej podsieti ale maju inu masku

[MikyM]

Dle popisu to vypada, ze VLAN tag je prenasen z AP do klienta a nedela untag na vystupu. Muzes si to vyzkouset treba tak, ze na notesu priradis WiFi karte danou VLAN a pak se pripojis na dane AP. Nevim zda to umi veskere WiFi karty, Intel to umi.

Tady je k tomu 3 roky stary kratky navod https://community.ui.com/questions/New-to-VLANs-and-trying-to-setup-my-nanostation-M2/b10c4153-469c-49c3-9950-40d0ea415a71