Bonsoir.

Il y a un moyen d'avoir la tv fonctionnelle SANS livebox sur le réseau ? "Juste" en configurant un dhcp server je suppose et une nouvelle interface avec les vlans tv, dans le principe ?

Merci

Bonjour,

VOila une configuration basique pour le firewall :

1) Ajouter la liste des LAN interne autorisés à se connecter au router (à personnaliser en fonction de votre réseau) :

/ip firewall address-list
add address=192.168.1.0/24 disabled=no list=support
add address=192.168.2.0/24 disabled=no list=support

2) Ajouter la liste des reseaux Bogons (classes reseaux reservées) :

/ip firewall address-list
add address=0.0.0.0/8 comment="Self-Identification [RFC 3330]" disabled=no list=bogons
add address=10.0.0.0/8 comment="Private[RFC 1918] - CLASS A" disabled=yes list=bogons
add address=127.0.0.0/16 comment="Loopback [RFC 3330]" disabled=no list=bogons
add address=169.254.0.0/16 comment="Link Local [RFC 3330]" disabled=no list=bogons
add address=172.16.0.0/12 comment="Private[RFC 1918] - CLASS B" disabled=yes list=bogons
add address=192.168.0.0/16 comment="Private[RFC 1918] - CLASS C" disabled=yes list=bogons
add address=192.0.2.0/24 comment="Reserved - IANA - TestNet1" disabled=no list=bogons
add address=192.88.99.0/24 comment="6to4 Relay Anycast [RFC 3068]" disabled=no list=bogons
add address=198.18.0.0/15 comment="NIDB Testing" disabled=no list=bogons
add address=198.51.100.0/24 comment="Reserved - IANA - TestNet2" disabled=no list=bogons
add address=203.0.113.0/24 comment="Reserved - IANA - TestNet3" disabled=no list=bogons
add address=224.0.0.0/4 comment="MC, Class D, IANA" disabled=yes list=bogons

3)  Maintenant on passe au chose sérieuses avec les règles de filtrage :
/ip firewall filter
add action=add-src-to-address-list address-list=Syn_Flooder address-list-timeout=30m chain=input \
comment="Add Syn Flood IP to the list" connection-limit=30,32 disabled=no protocol=tcp tcp-flags=syn
add action=drop chain=input comment="Drop to syn flood list" disabled=no src-address-list=Syn_Flooder
add action=add-src-to-address-list address-list=Port_Scanner address-list-timeout=1w chain=input comment="Port Scanner Detect"\
disabled=no protocol=tcp psd=21,3s,3,1
add action=drop chain=input comment="Drop to port scan list" disabled=no src-address-list=Port_Scanner
add action=jump chain=input comment="Jump for icmp input flow" disabled=no jump-target=ICMP protocol=icmp

add action=drop chain=input\
comment="Block all access to the winbox - except to support list # DO NOT ENABLE THIS RULE BEFORE ADD YOUR SUBNET IN THE SUPPORT ADDRESS LIST"\
disabled=yes dst-port=8291 protocol=tcp src-address-list=!support

add action=jump chain=forward comment="Jump for icmp forward flow" disabled=no jump-target=ICMP protocol=icmp
add action=drop chain=forward comment="Drop to bogon list" disabled=no dst-address-list=bogons
add action=add-src-to-address-list address-list=spammers address-list-timeout=3h chain=forward comment="Add Spammers to the list for 3 hours"\
connection-limit=30,32 disabled=no dst-port=25,587 limit=30/1m,0:packet protocol=tcp
add action=drop chain=forward comment="Avoid spammers action" disabled=no dst-port=25,587 protocol=tcp src-address-list=spammers
add action=accept chain=input comment="Accept DNS - UDP" disabled=no port=53 protocol=udp
add action=accept chain=input comment="Accept DNS - TCP" disabled=no port=53 protocol=tcp
add action=accept chain=input comment="Accept to established connections" connection-state=established\
disabled=no
add action=accept chain=input comment="Accept to related connections" connection-state=related disabled=no
add action=accept chain=input comment="Full access to SUPPORT address list" disabled=no src-address-list=support

add action=drop chain=input comment="Drop anything else! # DO NOT ENABLE THIS RULE BEFORE YOU MAKE SURE ABOUT ALL ACCEPT RULES YOU NEED"\
disabled=yes

add action=accept chain=ICMP comment="Echo request - Avoiding Ping Flood" disabled=no icmp-options=8:0 limit=1,5:packet protocol=icmp
add action=accept chain=ICMP comment="Echo reply" disabled=no icmp-options=0:0 protocol=icmp
add action=accept chain=ICMP comment="Time Exceeded" disabled=no icmp-options=11:0 protocol=icmp
add action=accept chain=ICMP comment="Destination unreachable" disabled=no icmp-options=3:0-1 protocol=icmp
add action=accept chain=ICMP comment=PMTUD disabled=no icmp-options=3:4 protocol=icmp
add action=drop chain=ICMP comment="Drop to the other ICMPs" disabled=no protocol=icmp
add action=jump chain=output comment="Jump for icmp output" disabled=no jump-target=ICMP protocol=icmp

Ensuite il faut activer les 2 règles drop all qui sont désactivées en allant dans le menu IP -> Firewall. Puis sélectionner les deux regles qui sont disabled (commentaires : DO NOT ENABLE THIS RULE BEFORE YOU MAKE)

3) Enfin des règles pour Eviter les attaques sur le SSH en brut force (on met l'IP en blacklist pendant 10 jours) :

/ip firewall filter
add chain=input protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop \
comment="drop ssh brute forcers" disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new \
src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist \
address-list-timeout=10d comment="" disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new \
src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 \
address-list-timeout=1m comment="" disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 \
action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m comment="" disabled=no

add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list \
address-list=ssh_stage1 address-list-timeout=1m comment="" disabled=no

add chain=forward protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop \
comment="drop ssh brute downstream" disabled=no

Pour afficher les IP dans la list ssh_blacklist : /ip firewall address-list -> print

Enfin, il est conseillé de désactiver les services que vous n'utilisez pas : telnet, ftp,.... Il suffit d'aller dans le menu IP->Services.

Baki.

3) Enfin des règles pour Eviter les attaques sur le SSH en brut force (on met l'IP en blacklist pendant 10 jours) :

Bonjour Baki et merci pour tes explications
Cette règle des 10 jours peu être modifier au choix de l'utilisateur
Comme par exemple mettre 5 jours ou 20 jours ?
Je pense que cela n'a pas d'incidence sur les règles ?

J'hésite avec le matos ubiquiti, la j'ai voulu jouer avec un ac68u, j'ai le net avec le fw de base mais évidement pas la TV, et il ne boot pas sur les fw tomato :s, je vais donc faire un retour à l'envoyeur et prendre qqch de plus sérieux, comme les ccr de mikrotik.
Pas besoin du téléphone, juste la TV sur les deux boîtiers.

J'ai une IPv6 sur la lb, je risque d'avoir les meme prb alors ?

Oui.

Ce qu'on sait, c'est que la LB fait de la CoS, notamment les requêtes DHCP qui sortent en priorité "haute" (pour faire simple).

Dans certaines "régions", la CoS semble obligatoire, et des requêtes DHCP en priorité "normale" n'obtiennent pas de réponse. Dans d'autres "régions" ces mêmes requêtes obtiennent une réponse.

Problème: Pas possible de modifier la CoS sur un routeur Ubiquiti sans tuer les perfs (il faut désactiver l'offload). L'autre piste est de compiler un client DHCP patché, mais pour l'instant personne n'a pu affirmer que ça fonctionnait.

Ouai, alors déjà que je sens que je vais avoir besoin d'aide pour avoir un truc qui marche sans rien recompiler, si je dois m'amuser à ça je suis pas sorti. Bon, je vais voir ce que donne le compte en banque et aviser pour un CCR1009-8G-1S-1S+PC