정희섭 2017-06

l2tp ipsec 열면 무조건 공격 옵니다
기본 포트에 포트스캔 돌리고 사전형 공격 하는거나 마찬가지고요.
몇회이상 인증 실패하면 블럭 하는 룰 추가 하시면 되긴 합니다.

NightHawk 2017-06

전에 어떤 글의 리플에 있는 timeout으로 하는것은 추가하고 테스트까지 끝냈는데...
인증 실패할때 address list 추가하는 방법은 아직 모르겠는데 혹시 아시면 키워드라도 좀 알려주실수 있을까요?

김황중 2017-06

IP Location United States Fremont Hurricane Electric Inc.
ASN AS6939 HURRICANE - Hurricane Electric, Inc., US (registered Jun 28, 1996)
Resolve Host scan-08n.shadowserver.org
Whois Server whois.arin.net

NetRange:      216.218.128.0 - 216.218.255.255

검색은 후이즈 서버에서 했고요.
보시는 대로 미국입니다.

대역대가 통으로 잡혀 있으니
클래스로 막아버리셔야 할듯...^^

NightHawk 2017-06

address list 에 넣고  block 시키고 log 남겼습니다-
Hurricane Electric 사이트 가보니 전세계 네트워크 트레픽 이동 같은 것도 있고... 오토봇 같은것이 접속 하나 싶긴 하네요-

느낌 2017-06

add action=drop chain=input comment="drop ssh brute forcers" dst-port=22 protocol=tcp src-address-list=ssh_blacklist
add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input \
    connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input \
    connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input \
    connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input \
    connection-state=new dst-port=22 protocol=tcp

저는 위에 처럼 3번째 시도 하면 black list 차단

NightHawk 2017-06

위의 리플에 말한 어떤글의 타임아웃 방법이 위의 방법과 동일합니다. (대충 설정은 아래와 같이 했습니다)
- 처음 접속시, 첫번째 address list 저장 (타임아웃 1m)
- 1분 이내 두번째 접속이 오면, 첫번째 list 있을시 2번째 저장 (타임아웃 3m)
- 3분이냐 세번째 접속이 오면, blacklist 저장 이후 차단...

이게... 짧은 시간에 연속적인 접속이 오는 경우만 가능하니, 하루 한번만 오는 접속 시도에는 소용이 없더라구요-

그래서, 차단은 안하더라도 추후 관리를 위해, 실패시 address list에 넣는 그런 방법을 찾아보고 있어요.
raw 필터에 ipsec뭔가 있는것도 같아서... 아직 더 검색 중입니다-

우선 mikrotik wiki에 있는 port scan 룰도 겸사겸사 추가했습니다-