1- Volendo disabilitare il server ssh del mikrotik per evitare login dall'esterno,ho provato a disabilitare la voce ssh port 22 sotto ip/services,ma cosi facendo mi blocca l'accesso anche dalla 2020,come se riconoscesse il protocolo e lo bloccasse comunque anche se su porta differente
E' ovvio che disabilitando quel servizio non avrai accesso tramite SSH, è lo stesso come dare il comando su una distro linux /etc/init.d/ssh stop , blocchi quel servizio e la macchina nn risponde piu sulla 22!
2- Uso in lan un sistema Linux con il software fail2ban,che banna gli IP che sbagliano tot tentativi di login con ssh,il problema è che facendo una prova collegandomi con una box esterna sbagliando volutamente password mi viene bloccato non l'ip di questa box ma quello del mikrotik :O
Per questo puoi usare le filter rule (ACL) mettendo delle determinate porte sotto filtro e magari un bel port knocking in modo che solo tu sai come accedere alla macchina/dispositivo in questione1.
Esempio di regole di Filter (filter rule per droppare servizi come telent,ssh,ftp):
- Codice: Seleziona tutto
/ip f f
add action=accept chain=input comment="Blocca tentativi di accesso sulle porte 21,22,23" disabled=no dst-port=21,22,23 protocol=tcp src-address=192.168.1.0/24
add action=add-src-to-address-list address-list=drop-service address-list-timeout=10h chain=input disabled=no dst-port=21,22,23 protocol=tcp
add action=drop chain=input disabled=no src-address-list=drop-service
Quindi in questo caso accetta solo l'accesso dalla subnet 192.168.1.0/24, tutti gli altri tentativi provenienti da IP differenti vengono messi in una lista per essere droppati
Port knocking del tipo:
- Codice: Seleziona tutto
/ip f f
add action=add-src-to-address-list address-list=1Step address-list-timeout=5s chain=input comment="PortKnocking-To access" disabled=no dst-port=6250 protocol=tcp
add action=add-src-to-address-list address-list=Accesso-Consentito address-list-timeout=1h chain=input disabled=no dst-port=7250 protocol=tcp src-address-list=1Step
add action=accept chain=input disabled=no src-address-list=Accesso-Consentito dst-port=21,22,23 protocol=tcp
In questo caso bussando sulla porta 6250 verrai messo in una lista che ti permetterà di accedere ad una secondaria di "permesso consentito" andando ad interrogare poi la 7250, che ti darà pieno accesso ai servizi che fanno capo alle porte 21,22,23.
Ricorda sempre che le regole devono avere un ordine logico/sistematico altrimenti rischi di essere tagliato fuori!
