Добрый день! 2 года являюсь пользователем mikrotik hap ac2 и вот захотел взять Keenetic Giga (точнее даже едет уже ко мне).
Почитал тут https://help.keenetic.com/hc/ru/articles/360000991640 про межсетевой экран, что-то как-то странно работает, если даешь доступ, то потом +1 правило чтобы закрыть порт/доступ, я думал должно работать по принципу - "что не разрешено - запрещено", а тут явно указывать надо.
Я возможно ретроград, но на микроте выглядит куда проще.
Хочу уточнить, 3 момента по настройке "гиги", может кто знает: 1. В кинетике есть ли возможность например ряд внешних айпишников активно сканирующих/обращающихся на определенный твой порт, добавить в какой-то список автоматом и потом просто всему списку запретить доступ?
В "микроте" удобно - создал правило, что например если кто угодно сканирует какой-то твой порт, например 25 - то в бан его навсегда или на время (я к примеру не пользуюсь этим портом или можно любой другой порт указать как "ловушку").
Привык, удобно, могу сам контролировать и видеть кто "ломился".
2. Проброс портов что-то в примере не увидел (Пример 8. Разрешить доступ по протоколу RDP только с определенного внешнего IP-адреса. не совсем то), например локальный RDP 3389, но с внешнего ресурса я хочу подключиться к определенному ПК в своей домашней сети и я не знаю айпи с которого буду делать запрос, но я хочу закрыть внешний 3389 порт, например:
-- домашний внешний адрес 1.1.1.1 (образно), я хочу делать запрос на 1.1.1.1:4444 и попасть на RDP (или другой порт) ПК в своей сети 192.168.0.2:3389 или 192.168.0.2:1111
Это я так понимаю тривиальная простая задача, но примера не нашел.
3. Есть ли Port knocking у кинетиков? Я вот на микротике пользуюсь чуть другой штукой, как называется не знаю. Опишу - чтобы дать доступ определенному адресу к вышеуказанным портам:
-- делаю пинг первый на свой домашний адрес с определенным размером пакета ХХ (это при пинге указывать можно) - микротик проверяет такой ли размер ожидаем мы и если да - добавляет этот адрес в список1 на хх секунд
-- делаю пинг второй на свой домашний адрес с определенным размером пакета ХХХ - микротик смотрит, есть ли такой адрес в списке1 И соответствует ли размер ожидаемому, если да - добавляет этот адрес в список доверенных на час
-- теперь в течении часа я могу получить доступ с определенного внешнего айпи адреса. И таких цепочек можно создать много типа пинг+размер1 -> пинг+размер2 -> ...
Очень удобно и безопасно, я могу пробросить порты или вообще указать их открытыми всегда только адресам из доверенного списка, будучи уверенным, что туда смогут попасть только те адреса, которые делали определенного размера пинги и в определенной последовательности.
Есть ли такая возможность?
