Mikrotik firewall sadece Türkiye ip adreslerine izin vermek.

13-11-2012, 23:17:31

#1

turkiyereseller

Merhaba Arkadaşlar,

Mikrotik firewall konusunda desteğinize ihtiyacım var. Sorumu çok açık ve net bir şekilde paylaşıyorum.

Türkiye ip adreslerini firewall da izinli olarak tanımlayacağız. Türkiye ip adresleri dışındaki kalan ip adreslerini ise kabul etmeyeceğiz.

Yani örneği xxxx.xxx.xxx.xxxx olan sunucuya kimse hiç bir şekilde bağlantı kuramayacak. Bu sorum xxxnet saldırıları ile ilgili değildir. Yurt dışı ip lerinden tr yönüne doğru gelen erişim isteklerini kısıtlamaktır.

Aynı zamanda vpn ve proxy üzerinden erişim sağlayamacaklar.

Türkiye ip adresleri ve mikrotik firewall rule konusunda yardımcı olabilir misiniz.

Destekleriniz için şimdiden teşekkür ederim.
İyi forumlar.
13-11-2012, 23:54:19

#2

Salay

1. IP adresleri ripe üzerinde çok hızlı bir şekilde ilerliyor sürekli güncel takip etmek çok zor olabilir diye düşünüyorum . Belki her ip adresine ripe üzerinden api'leri kullanarak bir kontrol mekanizması kurabilirsiniz. Ancak ne kadar stabil olur bilemiyorum.
2. DDOS gibi ataklarda her türlü ip adresi geliyor yurt dışından bile yapılsa atak sadece ip adresine bakarak kesmek makul olmayabilir eğer konu atak için açıldıysa.
3. Bir trafiğin sizin cihazınıza kadar gelmesi zaten trafiğin gerçekleşmesi demektir. Bu da mikrotiki bir yerde firewall olarak kullanmaya gider ki amaç buysa paket boyutuna header'a göre kurallar yazmak daha mantıklı gibi.

Anons kesme en iyi çözüm. Networklerde ip adresleri komşuluklar üzerinde AS numberlardan anons edilir. Örnek olarak ev networkunde 192.168.1.1 layer3 bir switch ile komşu bir networke anons ederseniz komşu network den bu ip ile size gelebilirler.
Global olarak düşündüğünüzde iana dan başlayarak ripe afrinic vs. bunların düzenlemesini yapar. Türktelekom yurtdışı komşuluklarında sizi anons etmezse ripe tarafından veirlen bu ip adresine yurtdışından hiç bir trace çıkmayacağı için çağrı makinadan dışarı bile çıkmaz.
En iyi çözümün TT den ip bloğu için dış anonsun kesilmesi olacaktır.
14-11-2012, 13:45:20

#3

yildirim1968

Merhaba

Vereceğim siteden en güzel ACL listelerini alırsın.
Biz kullanıyoruz bi sıkıntımız olmadı şu ana kadar

https://www.countryipblocks.net/country_selection.php
Mikrotike girişleri yaparsın.

Kolay gelsin....
14-11-2012, 16:06:01

#4

~~Yorumcu~~

Üyeliği durduruldu

Ali eğer amaç Cahitin dediği gibi saldırı engellemekse yapacağın işlemin çok fazla bir anlamı yok. 100 Mbit hattın varsa, 101 Mbitlik saldırı alıosan zaten hattın kapanmış demektir.

Artık mikrotik firewall ofisler için kullanılan bir firewall yada araç oldu. Profesyonel ortamlarda yada datacenterlarda daha profesyonel çözümler kullanılır hale geldi.
15-11-2012, 03:54:21

#5

turkiyereseller

Salay adlı üyeden alıntı: mesajı görüntüle

1. IP adresleri ripe üzerinde çok hızlı bir şekilde ilerliyor sürekli güncel takip etmek çok zor olabilir diye düşünüyorum . Belki her ip adresine ripe üzerinden api'leri kullanarak bir kontrol mekanizması kurabilirsiniz. Ancak ne kadar stabil olur bilemiyorum.
2. DDOS gibi ataklarda her türlü ip adresi geliyor yurt dışından bile yapılsa atak sadece ip adresine bakarak kesmek makul olmayabilir eğer konu atak için açıldıysa.
3. Bir trafiğin sizin cihazınıza kadar gelmesi zaten trafiğin gerçekleşmesi demektir. Bu da mikrotiki bir yerde firewall olarak kullanmaya gider ki amaç buysa paket boyutuna header'a göre kurallar yazmak daha mantıklı gibi.

Anons kesme en iyi çözüm. Networklerde ip adresleri komşuluklar üzerinde AS numberlardan anons edilir. Örnek olarak ev networkunde 192.168.1.1 layer3 bir switch ile komşu bir networke anons ederseniz komşu network den bu ip ile size gelebilirler.
Global olarak düşündüğünüzde iana dan başlayarak ripe afrinic vs. bunların düzenlemesini yapar. Türktelekom yurtdışı komşuluklarında sizi anons etmezse ripe tarafından veirlen bu ip adresine yurtdışından hiç bir trace çıkmayacağı için çağrı makinadan dışarı bile çıkmaz.
En iyi çözümün TT den ip bloğu için dış anonsun kesilmesi olacaktır.

yildirim1968 adlı üyeden alıntı: mesajı görüntüle

Merhaba

Vereceğim siteden en güzel ACL listelerini alırsın.
Biz kullanıyoruz bi sıkıntımız olmadı şu ana kadar

https://www.countryipblocks.net/country_selection.php
Mikrotike girişleri yaparsın.

Kolay gelsin....

Yorumcu adlı üyeden alıntı: mesajı görüntüle

Ali eğer amaç Cahitin dediği gibi saldırı engellemekse yapacağın işlemin çok fazla bir anlamı yok. 100 Mbit hattın varsa, 101 Mbitlik saldırı alıosan zaten hattın kapanmış demektir.

Artık mikrotik firewall ofisler için kullanılan bir firewall yada araç oldu. Profesyonel ortamlarda yada datacenterlarda daha profesyonel çözümler kullanılır hale geldi.

Herkese ayrı ayrı teşekkür ederim. Hele böyle bir url bilgisi için çok teşekkür ederim
17-11-2012, 10:13:04

#6

~~SunucuservisTR~~

Üyeliği durduruldu

Yorumcu adlı üyeden alıntı: mesajı görüntüle

Ali eğer amaç Cahitin dediği gibi saldırı engellemekse yapacağın işlemin çok fazla bir anlamı yok. 100 Mbit hattın varsa, 101 Mbitlik saldırı alıosan zaten hattın kapanmış demektir.

Artık mikrotik firewall ofisler için kullanılan bir firewall yada araç oldu. Profesyonel ortamlarda yada datacenterlarda daha profesyonel çözümler kullanılır hale geldi.

aynen bizler 2000 li yıllarda teklan ilk açılıgında falan kullanıyorduk