无论您在MikroTik或者Linux上碰到什么问题，本站都可以为您排忧解难。远离烦恼，腾出您宝贵的精力和时间处理更加有价值的事情。 注册 | 登陆
浏览模式: 标准 | 列表分类:ROS

ROS防御内网攻击

Submitted by 熊茂祥 on 2014, October 8, 12:23 PM

本策略适用于防范UDP流量攻击（比如阿拉丁UDP攻击器）。TCP连接数攻击限制下单机连接数就行了，我就不多说了。

首先要新建一个网桥，将自己内网卡加入到桥接。

ROS防火墙脚本
  1. /interface bridge settings set use-ip-firewall=yes
  2. /ip firewall filter add action=add-src-to-address-list address-list=att address-list-timeout=10m chain=input connection-rate=10M-4294967295 protocol=udp src-address=192.168.0.0/24
  3. /ip firewall mangle add action=add-src-to-address-list address-list=att address-list-timeout=10m chain=postrouting connection-rate=10M-4294967295 protocol=udp src-address=192.168.0.0/24

修改IP为自己的内网IP地址范围。

ROS计划任务脚本
  1. :global attip
  2. :global defint
  3. :global taa 0
  4. :global nowmonth
  5. :global allmonth jan,feb,mar,apr,may,jun,jul,aug,sep,oct,nov,dec
  6. :foreach lizi in=[$allmonth] do={
  7. :if ([:pick [/system clock get date] 0 3]=$lizi) do={
  8. :set nowmonth ($taa+1)}
  9. :set taa ($taa + 1)}
  10. :global atttime ([:pick [/system clock get date] 7 11].$nowmonth.[:pick [/system clock get date] 4 6]."-".[/system clock get time]);
  11. :foreach fatt in=[/ip firewall address-list find list=att] do={
  12. :set attip [/ip firewall address-list get $fatt address]
  13. :if ([/interface bridge nat find arp-dst-address=($attip."/32")]="") do={
  14. /interface bridge nat add action=src-nat arp-dst-address=($attip."/32") chain=srcnat mac-protocol=arp comment=("att-".$atttime)}}
  15. :foreach fattd in=[/interface bridge nat find] do={
  16. :if ([/ip firewall address-list find list=att address=[:pick [/interface bridge nat get $fattd arp-dst-address] 0 ([:len [/interface bridge nat get $fattd arp-dst-address]]-3)]]="") do={
  17. /interface bridge nat remove $fattd}}

设置为定时循环执行，建议间隔时间为3-5秒左右为宜。

本策略原理是将攻击者的IP记录下来，加入攻击者的IP到桥防火墙，攻击者的IP将在ARP缓存超时后（WIN7系统5次测试计算后得到平均值为20秒左右。）无法和ROS通讯，因为找不到ROS的MAC，包括流量攻击也打不上来，因为找不到目标。（进入桥防火墙后即使攻击者再手工绑定路由MAC也无法成功。）
缺点：若客户机在攻击前已绑定路由MAC，则防御无法生效。因为ARP缓存不会超时。

» 阅读全文

Tags: ros, 内网, 攻击, udp, 流量

ROS | 评论:2 | 阅读:50101

dnspod多线高级版V2（ROS更新DDNS）

Submitted by 熊茂祥 on 2014, September 2, 12:58 PM

ROS脚本
  1. #DDNS帐号  
  2. :global user "用户名"  
  3. #DDNS密码  
  4. :global pass "密码"  
  5. #DDNS域名  
  6. :global rhost "域名（例如www.cat-home.org）"  
  7. #以下不需要修改  
  8. :global host [:pick $rhost ([:find $rhost "."]+1) [:len $rhost]]  
  9. :global zhost [:pick $rhost 0 [:find $rhost "."]]  
  10. /tool fetch url=("http://www.cat-home.org/dnspod/index.php\?user=$user&passwd=$pass&ym=$host&zym=$zhost") mode=http keep-result=no  
  11. }  

懒得说明，不会用自己面壁去。

» 阅读全文

Tags: dnspod, ddns, 脚本, 多线, adsl

ROS | 评论:1 | 阅读:55061

创建ROSLOG项目

Submitted by 熊茂祥 on 2014, August 12, 2:11 PM

项目名称:ROSLOG
项目目的:让ROS状态记录更加详细和直观
项目已实现功能:记录用户节点路由CPU负载，在线用户人数，当前已建立连接数，当前外网IP。并自动按记录进行绘制图表。由用户ROS自身提交这些数据给本项目，记录这些数据不需要为本项目提供ROS帐号密码。更多功能正在设想中。
如何参加测试:
1.至少具备1台在生产中运营的ROS，并且版本必须为5.15以上。
2.对ROS有基本的操作常识。（至少有能力自己添加记录在线用户数量脚本到ROS自身日志）
3.能接受上传的记录数据全部丢失的风险，能接受该状态系统完全无法使用的风险。（由于在初始开发阶段，不稳定和清空数据推倒从来是很常见的。）
4.到www.cat-home.org/roslog/reg.html注册一个帐号
5.插入以下脚本到ROS计划任务，每10-30分钟运行一次。（在线用户数计算地址池为"Online”，如不一样或没有，自行处理。）

ROS脚本代码
  1. :global r 0   
  2. :global monip "114.114.114.114"  
  3. :global uname "用户名"  
  4. :global passwd "密码"  
  5. :global uroute 5   
  6. :global cpuload [/system resource get cpu-load]   
  7. :global connow [/ip firewall connection tracking get total-entries]   
  8. :global avgla   
  9. :global minla   
  10. :global maxla   
  11. /tool flood-ping $monip count=10 do={   
  12.   :if ($sent = 10) do={   
  13.     :set avgla $"avg-rtt"  
  14.     :set minla $"min-rtt"  
  15.     :set maxla $"max-rtt"  
  16.   }   
  17. }   
  18. :foreach b in=[/ip firewall add find list="Online"] do={:set r ($r+1)}   
  19. :global tourl "http://www.cat-home.org/roslog/log.php\?"  
  20. :global tolog ("name=".$uname."&passwd=".$passwd."&route=".$uroute."&cpu=".$cpuload."&client=".$r."&connect=".$connow."&monipa1=".$avgla."&monipmi1=".$minla."&monipma1=".$maxla)   
  21. /tool fetch url=($tourl.$tolog) keep-result=no

6.登录用户状态中心http://www.cat-home.org/roslog/index.html ，输入浏览对应的记录节点。

» 阅读全文

Tags: ros, log, 负载, 记录, 状态

ROS | 评论:0 | 阅读:54366

关于ROS的AC控制器功能特色介绍

Submitted by 熊茂祥 on 2014, August 5, 1:20 PM

ROS从6.12版本开始加入capsman功能，也就是大家所知道的AC功能。本人实测到目前6.17版本该功能基本已经稳定。
经本人测试ROS的capsman可以实现以下功能。
1.单个ROS也可使用capsman。（自己是AC，也同时是AP。）
2.受控AP节点支持单个或多个无线网卡。
3.没有无线硬件的ROS设备也可以当作单独的AC控制器使用。
4.capsman支持精确控制某个AP广播多个SSID
5.支持黑白名单模式
6.支持按用户列表进行VLAN或桥分配
7.支持按SSID列表进行VLAN或桥分配
8.支持对不同的AP分配不同的功率
9.支持AP负载均衡组
10.支持对不同SSID设置不同密码
11.支持radius认证
12.支持A/B/G/N/AC协议
13.完全无缝漫游切换
14.支持上线AP自动配置
15.支持对单个AP最大接入终端限制

 

» 阅读全文

Tags: ros, ac, capsman, 无线, wifi

ROS | 评论:6 | 阅读:63065

网吧WIFI热点认证方案

Submitted by 熊茂祥 on 2014, March 25, 9:59 AM

目前网吧内提供WIFI覆盖已经开始普及了，但是目前的方案有待提高。

目前WIFI覆盖普遍方案都是以下几种：
方案1.使用普通无线路由，无需认证，直接LAN口接到网吧内网交换机。
方案2.使用普通无线路由，无需认证，WAN口接到网吧内网交换机。
方案3.使用普通无线路由，直接LAN口接到网吧内网交换机，网吧内软路由做WIFI认证。

方案1的缺点是毫无安全性可言，WIFI客户端发起ARP攻击少则影响所有WIFI客户端，多则整网全部受影响。并且发起流量攻击将直接打到网吧主路由。任何人在网吧附近都可以连接WIFI上网。
方案2的缺点是不便精确控制，WIFI客户端发起ARP攻击只能影响其他WIFI客户端。并且发起流量攻击将直接打到网吧主路由。主路由上看到所有WIFI客户端连接都是由无线路由的IP发起的，不便精确控制。任何人在网吧附近都可以连接WIFI上网。
方案3的缺点是安全性严重不足，WIFI客户端发起ARP攻击少则影响所有WIFI客户端，多则整网全部受影响。并且发起流量攻击将直接打到网吧主路由。但是没有经过WIFI认证的客户端无法上网。

现在来介绍下本人规划的网吧WIFI覆盖方案。
1.购置一个RB751，RB951或其他RB系列L4及更高授权的产品。（虽然原有ROS也可以实现，但是不建议这么做，具体原因之后解说。）
2.在客户机桌面上添加一个获取热点认证验证码及二维码的程序。（方便客户获取验证码或二维码进行认证上网。）
3.在收银机或者其他网吧内网服务器上运行服务端程序，对客户端的验证码及二维码下发，并效验和限制客户获取WIFI认证的规则。全程无需人工干预，全部采用API接口自动同步到ROS内，自动化维护。
4.本程序仅确保兼容5.24-5.26，其他版本用户自行测试。不包兼容。

本人规划的方案优势：
1.完全杜绝WIFI客户端发起ARP攻击来影响整个网吧，每个WIFI客户端之间互相隔离，不存在互相攻击或者入侵的可能性。绝对保护所有WIFI客户端的稳定性，安全性。并且不获取用户的任何隐私信息。
2.所有接入的WIFI客户端在主路由上均有自己的IP地址，可以针对每个WIFI客户端限速，也可以使用主路由HTB整体限速，限制连接数。不存在因为在主路由上使用共享IP而导致网络效果变差或不便单独管理的问题。
3.客户机离线自动通知服务端注销WIFI认证账户。（类似，但不一定是这种方式）
4.服务端可实时监控WIFI客户端接入数量，开通WIFI认证的客户机，开通的WIFI认证在线状态，在线时间状态显示。服务端可自主调节WIFI客户端单用户限速。
5.如果WIFI客户端发起流量攻击，将完全被RB系列路由器承受，不影响网吧内客户机网络。

本方案所需客户端，服务端已经动工。
稍安勿躁。。。。。

» 阅读全文

Tags: wifi, 热点, 认证, 网吧, 方案

ROS | 评论:1 | 阅读:73451

Records:81«‹78910111213141516›»