Лига Сисадминов

К посту http://pikabu.ru/story/mikrotik__odin_iz_luchshikh_domashnik...

fail2ban для микротика, коротко и просто, открываем через winbox - new terminal и копипастим сии строки

/ip firewall filter

add action=drop chain=input comment="drop ssh brute forcers" dst-port=22 protocol=tcp src-address-list=ssh_blacklist

add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage3

add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage2

add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage1

add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=22 protocol=tcp

add action=drop chain=input comment="drop telnet brute forcers" dst-port=23 protocol=tcp src-address-list=telnet_blacklist

add action=add-src-to-address-list address-list=telnet_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage3

add action=add-src-to-address-list address-list=telnet_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage2

add action=add-src-to-address-list address-list=telnet_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage1

add action=add-src-to-address-list address-list=telnet_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=23 protocol=tcp

add action=drop chain=input comment="drop winbox brute forcers" dst-port=8291 protocol=tcp src-address-list=winbox_blacklist

add action=add-src-to-address-list address-list=winbox_blacklist address-list-timeout=1w3d chain=input connection-state=new dst-port=8291 protocol=tcp src-address-list=winbox_stage3

add action=add-src-to-address-list address-list=winbox_stage3 address-list-timeout=1m chain=input connection-state=new dst-port=8291 protocol=tcp src-address-list=winbox_stage2

add action=add-src-to-address-list address-list=winbox_stage2 address-list-timeout=1m chain=input connection-state=new dst-port=8291 protocol=tcp src-address-list=winbox_stage1

add action=add-src-to-address-list address-list=winbox_stage1 address-list-timeout=1m chain=input connection-state=new dst-port=8291 protocol=tcp

По необходимости правим порты  на свои, добавляем копипастом необходимое.

Домашних роутеров у меня было не так чтобы много, но определённое мнение о них сложилось.

Так вот, одним из лучших по соотношению цена-качество на сегодняшний день является тот самый прибалтийский микротик.

У него не торчит куча антенн, но при этом сигнал добивает во все точки дома (а у моего предыдущего, широко известного в узких кругах WR-1043ND, несмотря на три антенны сигнала не хватало как раз на туалет. Он, конечно, берёг моё здоровье, но мне это не нравилось).

У него достаточно процессора и памяти, чтобы без проблем прожёвывать кучу трафика (включая торренты) и не давиться (на этом месте передаю горячий привет компании Ростелеком и компании Элтекс, роутеры которой и использует РТК. Они, мягко говоря, не алё).

Наконец у него 100500 вариантов настройки и, нет, знать их все не обязательно.

В общем, сначала я распробовал его на RB951G-2HnD, по итогу сделал три вещи:

1. на работе был древний системник, который жрал электричество работал крокодилом достался мне в наследство от предшественника с древней версией убунту на борту, раздавал VPN и пытался автомагически переключать каналы с основного на резервный, если что-то случилось с основным. Делал он всё это откровенно плохо (не самое лучшее железо, не самая новая ОС, в меру криво настроен), поэтому списан был без малейших сожалений. Был заменён на RB750GL, показавшим себя с самой лучшей стороны.

2. отдал RB951G-2HnD тёще, потому что ТоррентТВ (через её ТВ-бокс, подключенный через роутер Элтекс) не просто тормозил, а попросту не работал. Честно говоря, я бы попросту подключил ей обычное кабельное телевидение, но вот ровно в этом доме в центре Улан-Удэ нет ни одного кабельного провайдера (да и интернет, отличный от диалапа был проброшен провайдером лично в мою тогда ещё квартиру благодаря личным знакомствам, горизонтальным связям и вот этому всему).

3. купил относительно дорогую модель hAP AC, руководствуясь соображениями ("зато круто и надолго!", "5Ггц тоже полезно", "йоптыть, вифи стандарт 802.11ac, это ж гигабит!!1расрас", "может получится оптику напрямую через SFP-модуль завести", "опять же можно 4G-модем купить, воткнуть и будет резерв").

По итогам, после экспериментов 4G-модем подарил другу, оптику завести пришлось через тот самый Элтекс (спасибо саппорту РТК, переключившему его в бридж, а то я начал понимать, почему некоторые мои знакомые пожалели о переезде с ADSL на оптику), вифи оказался шустрым, но провод всё же надёжнее (хотя до детской я провод так и не дотянул, сидят по воздуху), 5Ггц уже полезен (эфир засран не как в Москве, где-нибудь, но уже ощутимо), а вот насчёт крутизны — проще перечислю, что он у меня дома сейчас делает:

- заведено по 100 мбс от двух провайдеров (нет, я не зажрался, я удалёнщик. Когда мне РТК как-то рубанул сеть минут на 15 в ОЧЕНЬ неподходящий момент, седых волос у меня добавилось. Так что здоровье дороже).

- настроена балансировка каналов (т.е. работают поочерёдно, т.е. одно соединение через одного провайдера, второе — через другого. Если зайти на myip.ru и тыкать F5, IP постоянно меняется, довольно забавно. А вот торренты всасывают одновременно).

- выведен в интернеты уютный домашний сервер (он скорее NAS, но сервер звучит красивее).

- настроен QoS, т.е. удалённому доступу и телефонии выделен наивысший приоритет, страничкам пониже, а всяким закачкам — по остаточному принципу.

- заведён VPN, чтобы из чужих сетей ходить без опаски. L2TP с IPSec шифрованием и SSTP на случай, если попаду в места, где режут вообще всё (а SSTP работает по 443 порту). Тут, правда, есть засада — работают либо мои https-сайты, либо SSTP VPN (у меня один фиксированный IP), но поскольку он мне пока не особо нужен не парюсь. Сертификаты для сайтов и SSTP VPN получаю с Let's Encrypt автомагически.

- торренты качаются быстро, что на NAS-е (он же домашний сервер с сайтиками, почтой и всяким таким), что на ТВ-боксе (разного рода Торрент ТВ).

- ну и, чтобы было удобнее, поднят шифрованный ipip-туннель до рабочего микротика, настроена маршрутизация и, таким образом, у меня есть доступ к рабочей сети без VPN, регистрации и СМС. Удобно!

В целом, очень удачные железки, очень.

P.S. Пока в сомнениях, стоит ли писать на тему настройки или тема и так достаточно хорошо освещена в интернетах никому не интересна?

На волне шумихи вокруг WannaCry появились "доброхоты" якобы помогающие защититься от новомодного вируса.
Сейчас как раз восстанавливаю последствия "паранои" и "псевдо-защиты" от "плаксы".....
Девочке рекламный баннер написал, что нужно защититься от вируса и она согласилась - ей поставили некую "чистилку" и "аваст" - после этого доступ к сетевым папкам пропал как класс...
Откатился на предыдущую точку восстановления и все снова заработало! ;)

Заодно решил проверить всю Сервисную сеть на уязвимости и к сожалению нашёл несколько Windows Server 2000 и 2003 с рядом уязвимостей, среди которых был сервер отвечающий за телефонию, на котором "админ" VoIP додумался в качестве Админской учётки использовать связку логин/пароль 1111, а на других серверах его зоны ответственности был чуть более секьюрный логин "Администратор" и пароль "12345678". Разговоры с этим недо-админом и нашим начальством ни к чему хорошему не привели, кроме того, что мне сделали выговор, что я полез в чужие сервера и оклеветал классного специалиста, гордость конторы и семьянина воспитывающего маленького ребёнка...

По работе потребовалось, чтобы некая программа для windows была постоянно доступна.

Ставить её на пользовательские компьютеры смысла не имело, т.к. они бывает что и выключаются, а из серверов на windows у меня под рукой был контроллер домена и вешать на него всё подряд как-то не хотелось.

Поэтому в офисе по сусекам поскребли, по отсекам помели и нашли старую, покрытую пылью лицензию к Windows XP HE. А большего, в принципе, и не нужно. И вот, я стал запихивать её в виртуалку.

Естественным образом возник спортивный интерес, как бы сделать так, чтобы жрала она поменьше, а работала пошустрее.

Понятно, что для этого виртуальное оборудование должно не эмулировать реальное железо, а использовать виртуальное. Скажем, HDD должен быть не на шине IDE, а на virtio. То же касается и сетевой карты. Обычно рекомендуют сначала ставить ОС на виртуальный IDE-HDD, затем добавлять второй виртуальный винт virtio-HDD, ставить на него драйвера, а потом выключать машину, удалять ненужный уже второй винт и менять тип системного HDD с IDE на virtio.

Честно говоря, все эти вытребеньки показались мне какими-то избыточными, поэтому я процитировал одного известного политического деятеля на предмет пути, которым мы пойдём и взялся за дело по своему.

Для начала я убедился, что virt-manager постоянно создаёт образ диска в qcow2-формате, что само по себе неплохо, но в данном случае излишне, так что я руками создал образ диска в raw-формате.

truncate -s 4G winxp.raw

Затем, при создании виртуальной машины выбрал его и слегка поменял параметры (шину на VirtIO, кэширование на none):

Затем сменил модель сетевой карты на всё ту же VirtIO, для простоты поменял модель звуковой карты на AC97, а затем сделал самое интересное — добавил FDD и подключил в него образ дискеты, взятый отсюда: https://fedorapeople.org/groups/virt/virtio-win/direct-downloads/latest-virtio/virtio-win_x86.vfd.

После этого, при установке жёсткий диск определяется без проблем, ОС устанавливается также без проблем (единственное, жалуясь на то, что драйвера не подписаны). Однако после установки видно, что не хватает драйверов для видео, сетевой карты и пары неизвестных устройств.

Проблем в этом нет, достаточно извлечь установочный образ CD и заменить его на ISO с драйверами. Дальше просто открываем диспетчер устройств, выбираем те, что без драйверов и ставим их через автопоиск.

В результате получаем маленькую, аккуратную виртуалку, с вполне достойной производительностью.

Вопрос кому и зачем она может понадобиться в 2017 году оставим за кадром. : )

Тем более, рекомендации вполне подходят и для актуальный версий windows.

P.S. На свежеустановленную и активированную Windows XP имеет смысл установить UpdatePack-XPSP3-Rus Live 14.5.1, а потом уже пытаться проверять наличие обновлений.

P.P.S. Поскольку на Home Edition RDP отсутствует как класс, моему коллеге предстоит увлекательный квест по освоению virt-viewer'а. Благо он простой, как пять копеек.