미크로틱 RB2011이나 RB3011를 라우터로 사용하려고 합니다. 라우터 밑단에 스위치를 달고 그 밑에 장비를 구성하는 것을 막으려고 하는데요,
이유는 와이어샤크 등으로 장비와 서버간의 패킷 캡쳐하는 것을 막으려고 합니다.
상황은 장비(클라이언트)와 장비와 통신할 제어서버가 있고, VPN서버가 있습니다. 장비와 제어서버는 각각 다른장소에 있으며 둘 다 각각 별도의
라우터 밑에 연결되어 있고, 장비와 서버는 기본 라우팅경로가 무조건 각자의 라우터에서 VPN을 타고 돌기 때문에 서로간에는 공공 인터넷망으로
통신 안합니다.
서버는 안전한 장소에 있지만, 장비와 라우터는, 불특정 다수가 함부로 다룰 수는 없지만 어쨌든 물리적으로 노출되어 있어서 마음만 먹으면
통신을 감청당하여 통신내용을 통해 원하지 않는 서버접근 가능성의 우려가 있습니다. VPN은 AES256을 사용하기에 감청해서 간단히 내용이
풀릴만한 수준은 아니라고 생각됩니다만, 종단 라우터의 설정으로 원천적으로 막고 싶습니다. 물리는 장비는 종단 라우터 밑에추후 추가될
가능성도 있지만 그렇게 많지는 않습니다.
1. 라우터에 구멍을 막아버리고 비활성화 시키고 필요할 때 활성화시키면 되지 않느냐?
--> 한번 깔아두면 관리할 사람이 없을 것 같아 여건상 처음에 잡아놔야 할 것 같습니다.
2. 라우터는 기본적으로 필요한 통신포트 이외에는 모든 인/아웃 통신을 막아놨습니다.
3. 패킷감청을 위해 허가되지 않은 PC 등을 종단 라우터 포트에 연결할 경우 DHCP가 안되도록 자동으로 차단 스크립트를 걸어놨습니다.
물론 static ip지정할 경우 ARP reply-only로 L2레벨부터 아예 통신 안되게 막았습니다.
이런 상황인데, 라우터는 미허가 PC가 접근하는 것을 차단했지만, 라우터 밑단에 스마트스위치나 더미허브를 달고 그 밑에 장비를 달아
PC를 연결하면, 결국 감청당합니다. 밑에 스위치를 연결 못하게 할 수 있나요? 스스로 찾아보려 했는데 영어로 무슨 키워드로 검색해야 할 지
감조차 안잡혀 질문 올렸습니다.. 아니 애초에 이런 게 이론적으로 가능한가요???
근데 제가 알기로는 둘 다 mikrotik에서 지원 안 하는 걸로 아는데 매니지드 l2가 하나 있어야 할 것 같습니다.
pvlan은 안되나 보네요..
ㅠ.ㅠ
물리적으로 뚧는건 닶없습니다. ㅋㅋ
한 번 사용해보고 싶습니다~
애초에 이 스크립트는 호스트네임으로 판단하기 때문에 호스트네임을 똑같이 해버리면 DHCP를 받을 수 있기에 침입자들에게 약점이 발각되지
않게끔 하는 수 밖에 없습니다. 그 대신 필요한 포트 이외에 아웃바운드까지 다 막아버려서 아무것도 할 수 없게 만들었습니다.
/system scheduler
add disabled=yes interval=1m name=block_invalidhost on-event=\
block_invalidhost policy=read,write,test start-time=startup
/system script
add name=block_invalidhost owner=admin policy=read,write,test source=":local D\
HCPSERVER \"server1\";\r\
\n:local BRIDGEFILTER \"bridge1\";\r\
\n\r\
\n:foreach i in=[/ip dhcp-server lease find dynamic=yes active-server=\$DH\
CPSERVER] do={\r\
\n :local DhcpDynIP [/ip dhcp-server lease get \$i address];\r\
\n :local DhcpDynMAC [/ip dhcp-server lease get \$i mac-address];\r\
\n :local DhcpDynHOST [/ip dhcp-server lease get \$i host-name];\r\
\n :local IfMacExist [/interface bridge filter find src-mac-address=\"\$\
DhcpDynMAC/FF:FF:FF:FF:FF:FF\"];\r\
\n :local invalidHOST [:pick \$DhcpDynHOST 0 4];\r\
\n \r\
\n:if ( (\$invalidHOST !=\"특정호스트\") || ([:len \$DhcpDynHOST]=0) ) do={\r\
\n :if (\$IfMacExist != \"\") do={\r\
\n# :log error (\"filtering invalid host\".\$DhcpDynMAC. \"a\
lready exists\")\r\
\n } else= {\r\
\n /interface bridge filter add action=drop chain=input in-b\
ridge=\$BRIDGEFILTER src-mac-address=\"\$DhcpDynMAC/FF:FF:FF:FF:FF:FF\" co\
mment=\"invalid host \$DhcpDynHOST\";\r\
\n :log warning (\"a new invalid host filter\" . \"\$DhcpD\
ynHOST\" . \"MAC:\" . \$DhcpDynMAC);\r\
\n }\r\
\n }\r\
\n}\r\
\n/ip dhcp-server lease remove [find host-name !=\"특정호스트\"]"
감사합니다!