Mikrotik RB VPN Entre 750 y Windows Seven o Windows XP

Visión de conjunto

Microsoft Windows XP / Vista ha incorporado en el cliente PPTP y cliente L2TP/IPSec.Vamos a ver cómo crear L2TP/IPsec entre Mikrotik RouterOS y Windows. Es posible ejecutar una conexión L2TP entre RouterOS y Windows, pero usted tendrá que cambiar una entrada del registro de Windows.

RouterOS Configuración

Configuración del servidor L2TP

/ Interfaz L2TP server set = enabled sí

• Habilitar servidor L2TP;

/ Ppp secreto add name = Contraseña 12345 = 12345 = perfil predeterminado de cifrado \

  locales-address = 192.168.1.1 remoto-address = 192.168.1.2

• Añadir cliente PPP, si no es necesario que ejecute uso doble cifrado perfil predeterminado para L2TP y mantener con cifrado IPSec. Ajuste de Windows y RouterOS propiedades túnel L2TP si desea ejecutar el cifrado o no.
• También es posible utilizar cualquier conjunto de direcciones DHCP en lugar de las direcciones locales y remotas. Ambos pueden ser asignados de la piscina idénticos.

Configuración de IPSec

/ Ip IPsec del mismo nivel

  agregar address = 192.168.1.1 auth-method = pre-shared-key intercambio-mode = main-l2tp \

  secret = 123456789 algoritmo hash sha1 = enc-algoritmo 3DES = generate-política = yes

• Añadir IPSec pares ajustes de configuración, estos valores deben coincidir en ambos extremos,
  • address = 192.168.1.1 dirección de su computadora Windows, es posible utilizar 0.0.0.0 / 0 , cuando la dirección IP del cliente remoto es desconocido; (Nota: Si escribe 0.0.0.0 (sin / 0) Mikrotik hace escuchar en 0.0.0.0 sólo Por lo tanto deshabilitar cualquier conexión. Asegúrese de especificar la máscara de red utilizando / 0.)
  • port = 500 número de puerto;
  • algoritmo hash = sha1 y enc = algoritmo 3DES se utiliza por defecto en Windows XP;
  • generate-política = yes para generar directiva IPSec de forma automática;

Nota: Windows XP no funciona de acuerdo con RFC. Es necesario configurar L2TP principal modo de intercambio, de lo contrario Win XP cliente no será capaz de establecer la Fase 1.

Ajustar la configuración del firewall

• No se olvide de permitir UDP 500 (Dst.Port), UDP 1701, UDP 4500 (NAT-Traversal) y el Protocolo 50 (ESP) en la configuración del firewall de filtro.(cadena de entrada, aceptar). 
• 

Configuración de Windows

Configuración de Windows se compone de dos partes, la primera adición de nueva conexión de red y la segunda parte Ajustar la configuración de IPSec.

Agregar conexión de red

Toda la configuración se paso a paso,

• Iniciar;
• Configuración;
• Panel de control;
• Conexiones de red;
• Asistente para conexión nuevay Siguiente ;
• Conectarse a la red de mi espacio de trabajoy Siguiente ;
• Seleccione la conexión de red privada virtual ;
• Establecer Nombre de la empresa , que es el nombre de la nueva conexión;
• Agregar la dirección IP del RouterOS Mikrotik, donde L2TP servidor está en ejecución, haga clic en Finalizar ;
• Ventana de conexión se abre, seleccione Propiedades ;
• Modificar la seguridad para que coincida con las opciones de cifrado en Windows PC y servidor L2TP sobre RouterOS;
• Haga clic en Configuración de IPsec y seleccione Usar clave previamente compartida para la autenticación ;
• Ir a redes y seleccione L2TP IPSec VPN ;

En la ventana de conexión tiene que introducir las credenciales L2TP;

Ajustar la configuración de IPSec

Bueno, en mi caso, el siguiente paso no era necesario. En realidad, no reconocidos conexiones repetitivas de las ventanas XP (SP3) equipo sin anular la asignación y reasignación de la política (véase el último paso). Revisión de este artículo se apreciarán.

• Vaya a Inicio -> Ejecutar , poner mmc
• Ingrese a la consola , seleccione Add / Remove Snap in , añadir Gestión de directivas de seguridad IP complemento ;
• Seleccione Directivas de seguridad IP , y proceder a la Acción , abra Crear directiva de seguridad IP ;
• Siga las instrucciones del asistente, unset Activar la regla de respuesta predeterminada y establecer Editar propiedades ;
• Haga clic en Agregar y proceda a responder a las preguntas del asistente;
• Seleccione la regla no especifica un túnel ;
• Seleccione LAN ;
• Seleccione Usar esta cadena para proteger el intercambio de clave , introduzca la clave previamente compartida mismo que el configurado en RouterOS;
• Crear una nueva lista de filtros IP , donde la meta debe ser mi computadora , аnd destino - dirección IP del RouterOS, proceder a continuación ;
• Seleccione Requerir seguridad , puede dejar la configuración por defecto [Recuerdo que configurar en RouterOS algoritmo hash = sha y algoritmo de cifrado 3DES-=];
• Reinicie el agente de directivas IPSec en los servicios de Windows;
• En el clic de nueva creación política y seleccione Asignar .

·          INICIAR regedit.exe

·          Localizar

·          HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ RasMan \ Parameters

·          ponerte en contacto con Un Nuevo valor DWORD Llamado ProhibitIpSec

·          Darle el valor de 1

·          Reiniciar la PC

Si observa problemas con Windows 7, debes revisar la configuración del firewall avanzadas (Panel de control / Red y configuración de uso compartido centro / Firewall de Windows / Configuración avanzada / Acciones (panel derecho) / Propiedades / IPSec).

Comprobación de la conectividad

• Equipo con Windows debe establecer enlace con éxito para la nueva conexión,conexión de red privada virtual está conectado ... .
• Mikrotik RouterOS debe enumerar túnel L2TP,

/ / Ppp activo> print

Flags: R - radio

 # NOMBRE DEL SERVICIO Caller-ID DIRECCIÓN UPTIME CODIFICACIÓN 4

 0 Monitor l2tp 192.168.1.1 5.5.5.6 40s apátrida MPPE128

• IPSec debe mostrar intalled-sa,

/ Ip instalado ipsec-sa de impresión.

Escritorio remoto de Linux a Windows con KRDC

KRDC nos permite conectarnos a vnc y a rdp muy facilmente, basta con poner la direccion de la computadora a la que nos conectaremos y escoger si usaremos vnc o rdp para la conexion.

Luego solo configuramos con unos clicks si la conexion se centrara en velocidad o en calidad de imagen, si manejas una conexion de 512 o menos te recomiendo que la configures para mejor velocidad, yo tengo una conexion de 1mb lo configure para optimizar velocidad y va realmente rapido, el retardo en la respuesta era practicamente de cero.

Ademas detecta los escritorios remotos dentro de la red de area local usando el ZeroConf protocol.

Para utilizarlo desde KDE pense que seria suficiente con cargarlo desde el menu Internet — KRDC pero curiosamente lanza un error al hacer la conexion, y esto es porque realmente no esta instalado aun, asi que vamos a una terminal y ponemos :

En ubuntu

$ sudo apt-get install krdc

En OpenSuse

$ sudo yast install krdc

Y listo ahora podremos conectarnos sin ningun problema.

Nota: recuerda que si te vas a conectar a un equipo con windows debes hablitar la opcion del escritorio remoto en windows para poder accesar sin problemas. Ademas si vas a hacer una conexion atravez de internet en vez de hacerla en una lan, no te servira de nada con direcciones del tipo 192.168.1.x ya que son direcciones internas en la lan de ser este tu caso, deberas configurar tu router para que direccione la peticion del Remote desktop a la ip de la maquina que quieres conectar.

Administración del firewall en Mikrotik

El objetivo de este post es dar una explicación de cómo funciona el firewall de un equipo Mikrotik y la sintaxis para realizar algunas acciones básicas. Lo expuesto aquí es el resultado de los apuntes que tomé en el curso de Mikrotik y de algunas pruebas que hice por mi cuenta.

Funcionamiento general

El firewall por defecto lee las reglas de arriba hacia abajo y sale con la primera que matchea. Se usa la orden passthrough para obligar a que, luego de cumplirse una regla, se siga con las demás. En su naturaleza y funcionamiento es muy similar a iptables. En el siguiente esquema se puede ver cómo se produce el flujo de los paquetes dentro del firewall.

Firewall con ejemplos

Connection tracking: permite visualizar las conexiones en las que interviene nuestro equipo.

[admin@MikroTik] > ip firewall connection print

Flags: S - seen reply, A - assured

#	PROTOCOL	SRC-ADDRESS	DST-ADDRESS	TCP-STATE	TIMEOUT
0 SA	tcp	192.168.88.4:34838	192.168.88.1:23	established	21h54m32s
1 SA	tcp	192.168.4.254:48101	192.168.4.1:8291	established	23h59m59s
2	udp	192.168.4.1:123	163.10.0.84:123		8s
3 SA	tcp	192.168.4.254:51654	192.168.4.1:23	established	4m59s

Reglas generales

Escritura de firewall: siempre conviene empezar con las reglas de estado, para ahorrar procesamiento y acelerar las conexiones ya establecidas y las relativas.

[admin@MikroTik] > ip firewall filter add connection-state=established action=accept chain=input

[admin@MikroTik] > ip firewall filter add connection-state=related action=accept chain=input

[admin@MikroTik] > ip firewall filter add connection-state=invalid  action=drop  chain=input

[admin@MikroTik] > ip firewall filter add protocol=tcp src-port=8291 in-interface=!wlan1 action=accept chain=input comment="DENIEGA WINBOX DESDE LA WIRELESS"

Aceptar conexiones VPN:

[admin@MikroTik] > ip firewall filter add protocol=gre action=accept chain=input

[admin@MikroTik] > ip firewall filter add protocol=tcp dst-port=1723 action=accept chain=input comment="ACEPTO CONEXIONES VPN"

Denegar ping y loguear los intentos de ping:

[admin@MikroTik] > ip firewall filter add protocol=icmp chain=input action=log log-prefix="PING DENEGADO"

[admin@MikroTik] > ip firewall filter add protocol=icmp action=accept  chain=input comment="DENIEGO ICMP"

[admin@MikroTik] > log print

23:34:12 firewall,info PING DENEGADO input: in:ether1 out:(none), src-mac 00:21:70:fd:e3:25, proto ICMP (type 8, code 0), 192.168.4.254->192.168.4.1, len 64

Uso de listas

Las listas contienen direcciones IP para las que podemos tomar determinadas acciones. De esta manera, mantenemos una única lista de direcciones y la invocamos en el firewall.

Crear una lista especificando desde dónde permitimos conexiones SSH

[admin@MikroTik] > ip firewall address-list add list=ssh-permitido address=192.168.1.2/32 comment="MAQUINA DEL ADMINISTRADOR"

[admin@MikroTik] > ip firewall filter add src-address-list=!ssh-permitido protocol=tcp dst-port=22 action=drop chain=input comment="ACEPTO SSH DESDE LAS MAQUINAS EN LA LISTA ssh-permitido"

Agregar IPs a una address-list de forma dinámica: si quiero por ejemplo guardar todas las IPs que intentaron acceder por WinBox a mi equipo:

[admin@MikroTik] > ip firewall filter add chain=input action=add-src-to-address-list protocol=tcp address-list=acceso-winbox dst-port=8291

[admin@MikroTik] > ip firewall address-list print

Flags: X - disabled, D - dynamic

#	LIST	ADDRESS
0	acceso-winbox	0.0.0.0
1 D	acceso-winbox	192.168.4.254

Cadenas creadas por el usuario

Las cadenas creadas por el usuario sirven para ordenar el firewall. Por ejemplo, creo una cadena que se llame virus donde cargo los virus conocidos. Necesito luego hacer un jump desde la cadena input.

[admin@MikroTik] > ip firewall filter add dst-port=135-139,445 protocol=tcp action=drop chain=virus comment="VIRUS DE WINDOWS"

[admin@MikroTik] > ip firewall filter add chain=input action=jump jump-target=virus

Administración de reglas

Mover una regla: por ejemplo, acabo de agregar una regla y por defecto lo hace al final. Necesito que dicha regla que esta en el lugar 13 pase al 3:

[admin@MikroTik] > ip firewall filter move 13 3

Protección contra ataques conocidos

A continuación se explican algunos ataques conocidos y qué estrategias pueden implementarse para protegerse contra ellos. También algunas estrategias para aumentar la seguridad en nuestras redes.

Bogons nets

El grupo CYMRU mantiene un listado con direcciones de red no asignadas o banneadas. De esta forma, utilizando sus listas podemos protegernos de ataques que tengan direcciones no válidas. Lo que se hace es rutear dichas direcciones a un black hole.

Port knocking

Port knocking consiste en utilizar un preámbulo específico para luego lograr el acceso a donde necesitamos. Por ejemplo, si queremos acceder por SSH al equipo podemos definir que desde la IP que deseamos ingresar hagamos un intento de acceso al puerto 33, luego al 55 y finalmente al 77. Al cumplir lo anterior entonces abriremos el puerto 22 para esa IP por un tiempo limitado.

La forma de implementar el port knocking del ejemplo con Mikrotik es la siguiente:

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=77 action=add-src-to-address-list address-list=ssh-permit-temp address-list-timeout=1h src-address-list=step2

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=55 action=add-src-to-address-list address-list=step2 address-list-timeout=1m src-address-list=step1

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=33 action=add-src-to-address-list address-list=step1 address-list-timeout=1m

[admin@MikroTik] > ip firewall filter add chain=input protocol=tcp dst-port=22 src-address-list=!ssh-permit-temp action=drop

Fuerza bruta

Para impedir que, por ejemplo, nos descubran la password del SSH utilizando fuerza bruta podemos implementar un mecanismo que habilite sólo tres intentos de acceso y luego bloquee la IP por 10 días:

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh-blacklist address-list-timeout=10d src-address-list=ssh3

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh3 address-list-timeout=1m src-address-list=ssh2

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh2 address-list-timeout=1m src-address-list=ssh1

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh1 address-list-timeout=1m

[admin@MikroTik] > ip firewall filter add chain=input protocol=tcp dst-port=22 action=drop address-list=ssh-blacklist

DoS

Los ataques de DoS se llevan a cabo consumiendo y agotando los recursos del equipo/red atacado. Existen algunas formas de mitigarlos.

Una estrategia es utilizar tarpit. Esto baja la ventana TCP a 0, impidiendo que haya transferencia de datos pero dejando que se generen las conexiones. El siguiente ejemplo muestra cómo permitir 19 conexiones simultáneas por IP con destino al servidor web y aplicar tarpit a partir de la conexión 20.

[admin@MikroTik] > ip firewall filter add chain=forward dst-address=163.10.0.84 protocol=tcp dst-port=80 action=tarpit connection-limit=20,32

Otra estrategia que puede realizarse es permitir un máximo de conexiones nuevas simultáneas. Por ejemplo, la siguiente regla permite 5 conexiones nuevas al mismo tiempo y las restantes las dropea:

[admin@MikroTik] > ip firewall filter add chain=forward connection-state=new dst-address=163.10.0.84 protocol=tcp dst-port=80 action=drop connection-limit=5,32

Notas sobre rendimiento

• Tener en cuenta que siempre conviene que si hay dos reglas que pueden resumirse en una se haga, pues es una regla menos para procesar.
• Si no se utiliza el equipo como router conviene deshabilitar el connection tracking, pues así nos estaríamos ahorrando tiempo de procesamiento y memoria RAM.

Referencias e interés

Existen varios sitios que nos permiten ingresar con un usuario de sólo lectura a sus routers para verificar la configuración. Dos de ellos son accesibles vía WinBox con usuarios demo y sin password. Las direcciones son demo.mikrotikexpert.com y demo2.mt.lv.

Se puede encontrar también más información sobre tarpit en un artículo de Security Focus. Finalmente, en la documentación del RouterOS puede accederse a una explicación sobre el funcionamiento de la cadena filter del firewall.

Administración del firewall en Mikrotik

El objetivo de este post es dar una explicación de cómo funciona el firewall de un equipo Mikrotik y la sintaxis para realizar algunas acciones básicas. Lo expuesto aquí es el resultado de los apuntes que tomé en el curso de Mikrotik y de algunas pruebas que hice por mi cuenta.

Funcionamiento general

El firewall por defecto lee las reglas de arriba hacia abajo y sale con la primera que matchea. Se usa la orden passthrough para obligar a que, luego de cumplirse una regla, se siga con las demás. En su naturaleza y funcionamiento es muy similar a iptables. En el siguiente esquema se puede ver cómo se produce el flujo de los paquetes dentro del firewall.

Firewall con ejemplos

Connection tracking: permite visualizar las conexiones en las que interviene nuestro equipo.

[admin@MikroTik] > ip firewall connection print

Flags: S - seen reply, A - assured

#	PROTOCOL	SRC-ADDRESS	DST-ADDRESS	TCP-STATE	TIMEOUT
0 SA	tcp	192.168.88.4:34838	192.168.88.1:23	established	21h54m32s
1 SA	tcp	192.168.4.254:48101	192.168.4.1:8291	established	23h59m59s
2	udp	192.168.4.1:123	163.10.0.84:123		8s
3 SA	tcp	192.168.4.254:51654	192.168.4.1:23	established	4m59s

Reglas generales

Escritura de firewall: siempre conviene empezar con las reglas de estado, para ahorrar procesamiento y acelerar las conexiones ya establecidas y las relativas.

[admin@MikroTik] > ip firewall filter add connection-state=established action=accept chain=input

[admin@MikroTik] > ip firewall filter add connection-state=related action=accept chain=input

[admin@MikroTik] > ip firewall filter add connection-state=invalid  action=drop  chain=input

[admin@MikroTik] > ip firewall filter add protocol=tcp src-port=8291 in-interface=!wlan1 action=accept chain=input comment="DENIEGA WINBOX DESDE LA WIRELESS"

Aceptar conexiones VPN:

[admin@MikroTik] > ip firewall filter add protocol=gre action=accept chain=input

[admin@MikroTik] > ip firewall filter add protocol=tcp dst-port=1723 action=accept chain=input comment="ACEPTO CONEXIONES VPN"

Denegar ping y loguear los intentos de ping:

[admin@MikroTik] > ip firewall filter add protocol=icmp chain=input action=log log-prefix="PING DENEGADO"

[admin@MikroTik] > ip firewall filter add protocol=icmp action=accept  chain=input comment="DENIEGO ICMP"

[admin@MikroTik] > log print

23:34:12 firewall,info PING DENEGADO input: in:ether1 out:(none), src-mac 00:21:70:fd:e3:25, proto ICMP (type 8, code 0), 192.168.4.254->192.168.4.1, len 64

Uso de listas

Las listas contienen direcciones IP para las que podemos tomar determinadas acciones. De esta manera, mantenemos una única lista de direcciones y la invocamos en el firewall.

Crear una lista especificando desde dónde permitimos conexiones SSH

[admin@MikroTik] > ip firewall address-list add list=ssh-permitido address=192.168.1.2/32 comment="MAQUINA DEL ADMINISTRADOR"

[admin@MikroTik] > ip firewall filter add src-address-list=!ssh-permitido protocol=tcp dst-port=22 action=drop chain=input comment="ACEPTO SSH DESDE LAS MAQUINAS EN LA LISTA ssh-permitido"

Agregar IPs a una address-list de forma dinámica: si quiero por ejemplo guardar todas las IPs que intentaron acceder por WinBox a mi equipo:

[admin@MikroTik] > ip firewall filter add chain=input action=add-src-to-address-list protocol=tcp address-list=acceso-winbox dst-port=8291

[admin@MikroTik] > ip firewall address-list print

Flags: X - disabled, D - dynamic

#	LIST	ADDRESS
0	acceso-winbox	0.0.0.0
1 D	acceso-winbox	192.168.4.254

Cadenas creadas por el usuario

Las cadenas creadas por el usuario sirven para ordenar el firewall. Por ejemplo, creo una cadena que se llame virus donde cargo los virus conocidos. Necesito luego hacer un jump desde la cadena input.

[admin@MikroTik] > ip firewall filter add dst-port=135-139,445 protocol=tcp action=drop chain=virus comment="VIRUS DE WINDOWS"

[admin@MikroTik] > ip firewall filter add chain=input action=jump jump-target=virus

Administración de reglas

Mover una regla: por ejemplo, acabo de agregar una regla y por defecto lo hace al final. Necesito que dicha regla que esta en el lugar 13 pase al 3:

[admin@MikroTik] > ip firewall filter move 13 3

Protección contra ataques conocidos

A continuación se explican algunos ataques conocidos y qué estrategias pueden implementarse para protegerse contra ellos. También algunas estrategias para aumentar la seguridad en nuestras redes.

Bogons nets

El grupo CYMRU mantiene un listado con direcciones de red no asignadas o banneadas. De esta forma, utilizando sus listas podemos protegernos de ataques que tengan direcciones no válidas. Lo que se hace es rutear dichas direcciones a un black hole.

Port knocking

Port knocking consiste en utilizar un preámbulo específico para luego lograr el acceso a donde necesitamos. Por ejemplo, si queremos acceder por SSH al equipo podemos definir que desde la IP que deseamos ingresar hagamos un intento de acceso al puerto 33, luego al 55 y finalmente al 77. Al cumplir lo anterior entonces abriremos el puerto 22 para esa IP por un tiempo limitado.

La forma de implementar el port knocking del ejemplo con Mikrotik es la siguiente:

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=77 action=add-src-to-address-list address-list=ssh-permit-temp address-list-timeout=1h src-address-list=step2

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=55 action=add-src-to-address-list address-list=step2 address-list-timeout=1m src-address-list=step1

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=33 action=add-src-to-address-list address-list=step1 address-list-timeout=1m

[admin@MikroTik] > ip firewall filter add chain=input protocol=tcp dst-port=22 src-address-list=!ssh-permit-temp action=drop

Fuerza bruta

Para impedir que, por ejemplo, nos descubran la password del SSH utilizando fuerza bruta podemos implementar un mecanismo que habilite sólo tres intentos de acceso y luego bloquee la IP por 10 días:

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh-blacklist address-list-timeout=10d src-address-list=ssh3

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh3 address-list-timeout=1m src-address-list=ssh2

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh2 address-list-timeout=1m src-address-list=ssh1

[admin@MikroTik] > ip firewall filter add chain=input connection-state=new protocol=tcp dst-port=22 action=add-src-to-address-list address-list=ssh1 address-list-timeout=1m

[admin@MikroTik] > ip firewall filter add chain=input protocol=tcp dst-port=22 action=drop address-list=ssh-blacklist

DoS

Los ataques de DoS se llevan a cabo consumiendo y agotando los recursos del equipo/red atacado. Existen algunas formas de mitigarlos.

Una estrategia es utilizar tarpit. Esto baja la ventana TCP a 0, impidiendo que haya transferencia de datos pero dejando que se generen las conexiones. El siguiente ejemplo muestra cómo permitir 19 conexiones simultáneas por IP con destino al servidor web y aplicar tarpit a partir de la conexión 20.

[admin@MikroTik] > ip firewall filter add chain=forward dst-address=163.10.0.84 protocol=tcp dst-port=80 action=tarpit connection-limit=20,32

Otra estrategia que puede realizarse es permitir un máximo de conexiones nuevas simultáneas. Por ejemplo, la siguiente regla permite 5 conexiones nuevas al mismo tiempo y las restantes las dropea:

[admin@MikroTik] > ip firewall filter add chain=forward connection-state=new dst-address=163.10.0.84 protocol=tcp dst-port=80 action=drop connection-limit=5,32

Notas sobre rendimiento

• Tener en cuenta que siempre conviene que si hay dos reglas que pueden resumirse en una se haga, pues es una regla menos para procesar.
• Si no se utiliza el equipo como router conviene deshabilitar el connection tracking, pues así nos estaríamos ahorrando tiempo de procesamiento y memoria RAM.

Referencias e interés

Existen varios sitios que nos permiten ingresar con un usuario de sólo lectura a sus routers para verificar la configuración. Dos de ellos son accesibles vía WinBox con usuarios demo y sin password. Las direcciones son demo.mikrotikexpert.com y demo2.mt.lv.

Se puede encontrar también más información sobre tarpit en un artículo de Security Focus. Finalmente, en la documentación del RouterOS puede accederse a una explicación sobre el funcionamiento de la cadena filter del firewall.

Cursos TP-Link en PowerPoint

Cursos de la marca de equipos de Networking TP-LINK

Routers Wireless. 

 

Routers Cableados.

Access Points inalámbricos.

Tarjetas de Red.

Antenas.

Cámaras IP.

Print Servers.

Adaptadores Powerline.

Adaptadores Power Over Ethernet.

Modems ADSL.

Switches Administrables.

ENLACE DE DESCARGA

Configurar un router Cisco como servidor DHCP

La función principal de un servidor DHCP (Dinamic Host Control Protocol) es la asignación de direcciones IP a sus clientes.

Podemos configurar un router (Cisco) como servidor DHCP para tal propósito  En el siguiente ejemplo les proporciono la secuencia de comandos:

Accedemos al modo EXEC privilegiado:

Router> enable

Entramos al modo de configuración global:

Router# configure terminal

Router(config)#

Con el siguiente comando definimos el rango de direcciones que tienen asignaciones especiales dentro de la red y por lo tanto no vamos a entregarlas mediante DHCP:

Router(config)# ip dhcp excluded-address [ip-inferior] [ip-superior]

Luego definimos un nombre para el conjunto de direcciones que podrán asignarse a los clientes con el siguiente comando:

Router(config)# ip dhcp pool [nombre-pool]

Router(dhcp-config)#

Observe que ahora estamos en el modo de configuración de dhcp. Ahora definiremos el rango de direcciones a entregar mediante DHCP:

Router(dhcp-config)# network [dirección-red] [máscara-subred]

Finalmente declaramos los parámetros de red que deseamos entregar con DHCP:

Dirección de gateway

Router(dhcp-config)# default-router [dirección-ip]

Servidor DNS

Router(dhcp-config)# dns-server [dirección-ip]

Nombre de dominio

Router(dhcp-config)# domain-name [nombre-dominio]

Finalmente, si deseamos desactivar nuestro servidor DHCP entonces escribimos:

Router(config)# no service-dhcp

Observemos la siguiente configuración de ejemplo:

Router(config)# ip dhcp excluded-address 192.168.1.1 192.168.1.15

Router(config)# ip dhcp pool my-dhcp-server

Router(dhcp-config)# network 192.168.1.0 255.255.255.0

Router(dhcp-config)# default-router 192.168.1.1

Router(dhcp-config)# dns-server 192.168.1.7

Router(dhcp-config)# domain-name myexample.com

Comandos switch D-Link

IP Fabrica switch: 10.90.90.90

Comandos:

Ipconfig /all  -> me muestra la descripción completa de mi pc con ip,mac,etc.

Arp –a  -> me muestra todas las dirip y  mac.

Arp –d ->  borrar tablas

 Ping ip –t -> dejar ping corriendo

Comandos router (d-link):

telnet:

show ipif: ip, mac

show fdb: muestra tabla cam

show ports: muestra todos los puertos

show switch:datos del switch,mac,ip,etc

show fdb mac_addres  mi_mac : filtra por mac address

Mirror:  Miro desde otro Puerto lo que esta pasando en un puerto que yo deseo.

Port_security: es para asociar una mac a un puerto.

Config  ports nºpuerto  state enabled/disabled : habilitar deshabilitar un puerto

Config  ports nºpuerto  description :descripción.

Config  ports nºpuerto  speed 10_half: subir bajar velocidad puerto.

Reset system:Resetear rouetr

Save : salva configuraciones.

Show arpentry: tabla mac switch

Config port num lerning disable: desablilitar aprender mac.

Config  port_security ports  19 max_lerning_addr cant_mac_aprende: puede aprender hasta 3 mac en el Puerto 19.

Config  port_security ports  19 lock_adress_mode permanent: aprende mac y me las deja fijas en ese puerto.

Config  port_security ports  19 admin_state enabled/disabled: habilitar o desabilitar config Puerto.

Config  port_security ports  19 lock_adress_mode permanent: aprende mac y me las deja fijas en ese puerto.

Config fdb aging_time segundos_deseados: configurar  el tiempo que guarda la mac en la tabla cam