بستن همه پورت ها بجز چند پورت خاص در میکروتیک !

سلام

این موضوع بیشتر برای افرادی مناسب هست که از دیتاسنتر بخاطر استفاده از تورنت و یا اسپم abuse می گیرند !


ابتدا وارد فایروال میشیم :

کد:

---

/ip firewall filter

---

خوب سپس باید اجازه استفاده از پورت های خاص رو با دستوارت زیر صادر کنیم :

کد:

---

add chain=forward disabled=no action=accept in-interface=LAN protocol=tcp dst-port=21
add chain=forward disabled=no action=accept in-interface=LAN protocol=tcp dst-port=25
add chain=forward disabled=no action=accept in-interface=LAN protocol=tcp dst-port=80
add chain=forward disabled=no action=accept in-interface=LAN protocol=tcp dst-port=110
add chain=forward disabled=no action=accept in-interface=LAN protocol=tcp dst-port=443
add chain=forward disabled=no action=accept in-interface=LAN protocol=tcp dst-port=8080

---

حالا با دستور زیر جلوی فعالیت هرچیزی رو بجز پورت های بالا میگیریم :

کد:

---

add chain=forward disabled=no action=drop in-interface=LAN

---

معمولا بجای LAN در میکروتیک ها ether1 رو میبینیم !

اگه 2 تا کارت شبکه داریم باید کارتی رو انتخاب کنیم که کاربران میخان ازش استفاده کنن !

یه دستور دیگه هم هست که محض اطمینان اونو هم بزنیم بد نیست :

کد:

---

ip firewall filter add chain=forward p2p=bit-torrent action=drop

---

این دستور هم جلوی تمام فعالیت های که به تورنت ربط دارند رو میگیره !

اگه بخوایم جلوی اسپم رو هم بگیریم خطی که پورت 25 رو نوشتیم رو حذف می کنیم !


امیدوارم مفید واقع بشه

ممنون از آموزش شما.
فقط لازم هست که چند نکته رو ذکر کنم.
بهتره که تعدادی دیگه پورت اضافه بشه. چون اینطوری خیلی از سرویس ها رو مسدود کردید.
مثلا مسنجر یاهو، اسکایپ، ریموت دسکتاپ و...
نکته دوم هم اینکه درسته که برای تورنت کمک میکنه اما متاسفانه متوقف نمیکنه.

TCP/IP Ports

دوستان اگه پیشنهاد بهتری برای اینکار دارین لطفا بفرمایید

با تشکر

اقا رضا شما به این صورت و مثل پست اول تست کردین ؟ نتیجه گرفتین ؟

من از یکی از بچه ها پرسیدم چون یکم مغرور تشریف دارن فقط یه جمله گفتن : بعد همه چیز رو ببند-یک رول بدون هیچ پورت با اکشن دراپ


دیگه اشاره دیگه ای نکردن . مهم اینه که تو عمل جواب بده که می خوام بدونم شما جواب گرفتین یا نه ؟

همچنین یکی دیگه از بچه ها می گفتن که یه سری ایکریپت هم داره که اونم میشه اضافه کرد و جلوشو گرفت


ولی من یکی رو می شناختم که تو میکروتیک همشو بسته بود چون فایروال میکروتیک واقعا درست عمل می کنه

---------- Post added at 02:53 AM ---------- Previous post was at 02:41 AM ----------

من یه دستور دیگه ای مدتهاست که داشتم ولی هیچ موقع نزدم تا ببینم عملا و از لحاظ علمی می تونه کار کنه یا نه

که اینجا می زارم و می خوام بگین که می تونه کار کنه یا نه
add chain=virus disabled=no action=drop in-interface=ether1 protocol=tcp dst-port=8000-65535

که بیاد همه پورتها از 8000 تا 65535 رو ببنده که موندم که این دستور عمل می کنه یا نه

اگه عمل کنه خیلی از کارها حل میشه چون 99 درصد اخطارهای تورنت تو این رنج هستن

نقل قول:

---

نوشته اصلی توسط fun_9990

با تشکر

اقا رضا شما به این صورت و مثل پست اول تست کردین ؟ نتیجه گرفتین ؟

من از یکی از بچه ها پرسیدم چون یکم مغرور تشریف دارن فقط یه جمله گفتن : بعد همه چیز رو ببند-یک رول بدون هیچ پورت با اکشن دراپ


دیگه اشاره دیگه ای نکردن . مهم اینه که تو عمل جواب بده که می خوام بدونم شما جواب گرفتین یا نه ؟

همچنین یکی دیگه از بچه ها می گفتن که یه سری ایکریپت هم داره که اونم میشه اضافه کرد و جلوشو گرفت


ولی من یکی رو می شناختم که تو میکروتیک همشو بسته بود چون فایروال میکروتیک واقعا درست عمل می کنه

---------- Post added at 02:53 AM ---------- Previous post was at 02:41 AM ----------

من یه دستور دیگه ای مدتهاست که داشتم ولی هیچ موقع نزدم تا ببینم عملا و از لحاظ علمی می تونه کار کنه یا نه

که اینجا می زارم و می خوام بگین که می تونه کار کنه یا نه
add chain=virus disabled=no action=drop in-interface=ether1 protocol=tcp dst-port=8000-65535

که بیاد همه پورتها از 8000 تا 65535 رو ببنده که موندم که این دستور عمل می کنه یا نه

اگه عمل کنه خیلی از کارها حل میشه چون 99 درصد اخطارهای تورنت تو این رنج هستن

---

سلام
من با دستورات پست اول تا حدی جلوی تورنت رو گرفتم ولی کامل نیست
دستور شما درسته ولی اوون وسط جلوی پورت 8192 که برای winbox استفاده میشه و 8080 رو احتمالا میگیره !
شما قبلش پورت 8192و8080 رو با دستور زیر باز کنید
add action=accept chain=forward comment="Allow Winbox" disabled=no dst-port=8291 protocol=tcp
و بعد این دستور رو بزنید
add chain=virus disabled=no action=drop in-interface=ether1 protocol=tcp dst-port=8000-65535
add chain=forward disabled=no action=accept in-interface=LAN protocol=tcp dst-port=8080
برای اینکه دستور شما کاملتر بشه این خط رو هم وارد کنید :
add chain=virus disabled=no action=drop in-interface=ether1 protocol=udp dst-port=8000-65535

ممنون

اینها هم یه سری پورتهایی که باز گذاشتنشون از الزاماته
اگه پورت دیگه ای بود که کم و کسر شده بگین تا اضافه کنم
21,26,49,80,81,443,444,500,1701,1723,2090,2865,338 9,4500,5050,5900,8080,8090,8081,8192
:57:

آقا رضا ممنون از مطلب مفیدی که نوشتی. اما این دستور اصلا تاثیری نداشت:

کد PHP:

---

ip firewall filter add chain=forward p2p=bit-torrent action=drop 


---

این دستورو هم وقتی میزنم کلا هیچ سایتی رو دیگه باز نمیکنه: (با وجودی که قلبش پورتهای مورد نیاز رو باز کردم):

کد PHP:

---

add chain=forward disabled=no action=drop in-interface=ether1 


---

نکنه ترتیب اضافه کردن این دستورها مهمه؟
علت چی میتونه باشه؟

نقل قول:

---

نوشته اصلی توسط dashreza

آقا رضا ممنون از مطلب مفیدی که نوشتی. اما این دستور اصلا تاثیری نداشت:

کد PHP:

---

ip firewall filter add chain=forward p2p=bit-torrent action=drop 


---

این دستورو هم وقتی میزنم کلا هیچ سایتی رو دیگه باز نمیکنه: (با وجودی که قلبش پورتهای مورد نیاز رو باز کردم):

کد PHP:

---

add chain=forward disabled=no action=drop in-interface=ether1 


---

نکنه ترتیب اضافه کردن این دستورها مهمه؟
علت چی میتونه باشه؟

---

سلام

بله - ترتیب اضافه کردن دستورات مهم هست !

البته شما می تونید دستور دوم رو ویرایش کنید بطوری که p2p=all باشه !

نقل قول:

---

نوشته اصلی توسط reza115

سلام

بله - ترتیب اضافه کردن دستورات مهم هست !

البته شما می تونید دستور دوم رو ویرایش کنید بطوری که p2p=all باشه !

---

سلام
من کمک نیاز دارم
لطفا کمک کنید
من میخوام که یکسری از آی پی ها رو برای ورود به اینترنت ببندم ولی پورت ایمیل که 110 و 25 هست باز باشه
منظور این که مثلا میخوام آی چی 192.168.11.15 تا 192.168.11.30 رو ببندم داخلی شبکه به اینترنت دسترسی نداشته باشند پورت 8080 و 80 ولی در همون حال چون با نرم افزار outlook ایمیل میگیرن میخوام که پورت 25 و 110 باز بشن

میتونید کمک کنید
که چطور میشه این کار رو کرد
اگر دوستان لطف کنن و جواب رو به ایمیل من ارسال کنند ممنون میشم
persianmsr@yahoo.com
با تشکر از همتون

من می خوام همه پورت ها روی میکروتیک بسته بشه و فقط پورت 80 و 443 باز باشه. یعنی کاربر فقط یتونه وبگردی کنه.
از این روش استفاده کردم ولی بعد از کانکت شدن نت قطع می شه و حتی دو پورتی 80 و 443 هم با این که ادد شدن کار نمی کنن

نقل قول:

---

نوشته اصلی توسط hostironi

من می خوام همه پورت ها روی میکروتیک بسته بشه و فقط پورت 80 و 443 باز باشه. یعنی کاربر فقط یتونه وبگردی کنه.
از این روش استفاده کردم ولی بعد از کانکت شدن نت قطع می شه و حتی دو پورتی 80 و 443 هم با این که ادد شدن کار نمی کنن

---

بجای این دستور :

کد:

---

add chain=forward disabled=no action=drop in-interface=LAN

---

بزنید :

کد:

---


add chain=forward disabled=no p2p=all action=drop in-interface=LAN

---

نقل قول:

---

نوشته اصلی توسط reza115

بجای این دستور :

کد:

---

add chain=forward disabled=no action=drop in-interface=LAN

---

بزنید :

کد:

---


add chain=forward disabled=no p2p=all action=drop in-interface=LAN

---

---

ممنون
ولی ربطی نداره اون دستور جایگزین فقط می گه پورتکل نقطه به نقطه کلا رد کن که البته تاثیری هم نداره

ولی من می خوام همه پورت ها بسته بشه و فقط 2 تا پورت 80 و 443 باز بمونه که کاربر فقط بتونه وبگردی کنه و هیچ چیز دیگه ای نتونه به نت وصل بشه

نقل قول:

---

نوشته اصلی توسط hostironi

ممنون
ولی ربطی نداره اون دستور جایگزین فقط می گه پورتکل نقطه به نقطه کلا رد کن که البته تاثیری هم نداره

ولی من می خوام همه پورت ها بسته بشه و فقط 2 تا پورت 80 و 443 باز بمونه که کاربر فقط بتونه وبگردی کنه و هیچ چیز دیگه ای نتونه به نت وصل بشه

---

دوست عزیز فقط این دو پورت نیستن که باعث اتصال میشن

این طرز فکر اشتباهه که شما با باز گذاشتن این دو پورت می تونید از شر تورنت و اسپم خلاص بشید

چون برخی ای اس پی ها با پورتهای بالای 20000 به صورت دوره ای کاربراشون متصل میشن و شما باید به جای بستن دسترسی رو محدود کنید نه اینکه ببینید

در این صورت شما اصلا نمی تونید اتصالی در بالای 90 درصد کاربراتون داشته باشید

تجربه عملی به شما بیشتر کمک خواهد کرد

موفق باشید

موردی که هست و ظاهرا باعث میشه فایروال میکروتیک و سایر فایروال ها نتونن پورتهای تورنت رو بلاک کنند، encrypt شدن data هست! (که در این حالت فایروال نمیتونه تشخیص بده و اطلاعات رد و بدل میشن)
دوستان آیا برای این مساله راه حل قطعی پیدا کردن ؟

نقل قول:

---

نوشته اصلی توسط RezaFH

موردی که هست و ظاهرا باعث میشه فایروال میکروتیک و سایر فایروال ها نتونن پورتهای تورنت رو بلاک کنند، encrypt شدن data هست! (که در این حالت فایروال نمیتونه تشخیص بده و اطلاعات رد و بدل میشن)
دوستان آیا برای این مساله راه حل قطعی پیدا کردن ؟

---

راه حل رو خودت توی چت رومت گفته بودی :d
در هر حالتی چند ثانیه اول رو میتونه تشخیص بده ! (توی همین چند ثانیه یه کاری باید بکنی :d )

خواهش میکنم به من کمک کنید من رو abuse کردن وقتی با طرفی که ازش میخرم طرف میگه شما 50 هزار ت ومان جریمه شدید برای اینکه abuse شدین و باید طی بیت و چهار ساعت مشکلتونو حل کنید در غیر این صورت جریمه میشین ؟ قزیه این جریمه چیه کشکه یا راستگی؟
دومنا من چکار کنم که دیگه این مشکل من رفع بشه دلیل اصلی ایم مشکل من چیه ؟ و برای رفعش باید چکار کنم
میکروتیک v3.20

---------- Post added at 12:47 AM ---------- Previous post was at 12:45 AM ----------

ip german ham hastam?

---------- Post added at 12:55 AM ---------- Previous post was at 12:47 AM ----------

اگه میشه بگین از کجا من این کد ها رو وارد کنم از ترمینال شروع کنید تا زمانی که دیگه تموم بشه راستی من چطوری میفهمم که اسپم و تورنتم بلوکه شدن؟

راهی نیست یک آی پی که نمی خوامی به میکروتیک وصل می شه رو بن کنیم ؟

تشکر تاپیک مفیدی بود

با عرض سلام خدمت اساتید عزیز
سوال منم شبیه سوال همین دوستمون هستش که جوابی ندیدم براش. گفتم یه ری نیو بکنم سوالو
من یه یوزر دارم که آی پی ولید هم داره حالا میخام فقط 2تا پورتش باز باشه و الباقی بسته
اساتید عزیز کارم خیلی گیره لطفا کمکم کنید

من آی پی رو روی میکروتیک میبندم و وی پی اس ها از میکروتیک اینترنت میگیرن اما نمیدونم چرا پورت 137 رو با اینکه بستم پورت اسکن 137 اومده ؟؟؟؟؟

پرت 80 بازه رو سرور

input
output
forward

اما کلا سایت با مرورگر ویندوز باز نمیشه جالبه کسی این مشکل رو میدونه چرا ؟ :-? چیزی به نظرتون میرسه؟