Como Bloquear Spam No Mikrotik ?

[edcomrocha]

Pessoal boa tarde !

Bem essa semana recebemos um aviso da operadora dizendo que em um ip especifico da nossa rede esta enviando spam e tals e para tomarmos providencia senão irão bloquear o envio de e-mail nesse ip especifico.

Tentei implementar algumas regras aqui que achei no wiki do mikrotik mais nao funcionou.

Alguem poderia me dar alguma ideia de se fazer isso no Mk ou tem alguma soluçao que posso me indicar ?

Creio que seja virus no pc de algum ou de alguns clientes que esteja enviando spans.

Desde ja agradeço a atenção de todos.

Abraços

[numlock]

Antispam.br ::

[edcomrocha]

Antispam.br ::

Obrigado Numlock, dei uma olhada por cima na segunda estarei estudando melhor o documento e ver que providencia tomar a respeito disso.

Obrigado e abraços

[interhome]

add chain=forward src-address-list=spammer action=log log-prefix="SMTP" \
comment="SPAMMERS LOG" disabled=no
add chain=forward protocol=tcp dst-port=465 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="AntiSPAM o AntiWORM" disabled=no
add chain=forward protocol=tcp dst-port=25 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="" disabled=no
add chain=forward src-address-list=spammer action=drop comment="" disabled=yes

Nesse caso estamos considerando que o ip que esteja enviando 20 emails por minuto, seja considerado um spam na rede. Esse numero tem que ser analisado, considerando o perfil dos seus clientes.
A primeira regra apresenta os ips que foram considerados "spam" no address-list. O que permite tomar uma ação objetiva.

[aka2005]

add chain=forward src-address-list=spammer action=log log-prefix="SMTP" \
comment="SPAMMERS LOG" disabled=no
add chain=forward protocol=tcp dst-port=465 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="AntiSPAM o AntiWORM" disabled=no
add chain=forward protocol=tcp dst-port=25 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="" disabled=no
add chain=forward src-address-list=spammer action=drop comment="" disabled=yes

Boa opção essa, so ali no final ta desativada a regra.. e vc tbm bloqueia o cliente todo, pq ele adicionar no SPAM, vc pode mudar e bloquear so o serviço.. tipo como monitora a porta 25 e 465 - vc bloqueia so elas. nao parando a navegaçao do cliente.

[Nando]

pessoal como faço pra saber qual cliente ta mandando spam na rede?

[edcomrocha]

Pessoal, agradeço a atençao de todos que estão ajudadndo ainda nao consegui implantar aqui, porque nao quero bloquear tudo e sim indentificar os que estão enviando spam e bloquear eles.

Logo espero chegar la

Obrigado a todos

Abraços

[interhome]

Pessoal, agradeço a atençao de todos que estão ajudadndo ainda nao consegui implantar aqui, porque nao quero bloquear tudo e sim indentificar os que estão enviando spam e bloquear eles.

Logo espero chegar la

Obrigado a todos

Abraços

Coloque a regra, aparecerá no address-list quem esta enviando SPAM. Se a intenção for Bloquear eles. Já esta pronta a regra. Só ativar a ultima linha.

A idéia do AKA2005 é bem legal. Na linha drop, especifiquem as portas dos serviços Email. Assim bloqueará apenas aquele serviço do IP que entrou na regra SPAM.

[edcomrocha]

Coloque a regra, aparecerá no address-list quem esta enviando SPAM. Se a intenção for Bloquear eles. Já esta pronta a regra. Só ativar a ultima linha.

A idéia do AKA2005 é bem legal. Na linha drop, especifiquem as portas dos serviços Email. Assim bloqueará apenas aquele serviço do IP que entrou na regra SPAM.

Ok Interhome, vou testar aqui a noite, amanha posto o resultado oks

Muito obrigado novamente.

Abraços

[aka2005]

Caramba ontem implantei novamente a regra e esqueci de da DROP so na porta monitorada, paro uma cidade minha desde as 10 da noite rss... ate agora cedo. puts...
Só bloqueio a porta 25, e 465... assim o cara nao para de navegar, msn, orkut, entre outros, so mesmo spam, q vem pela porta 25.
na Regra de FIREWAL DROP so adicionar as portas:

/ip firewall filter add chain=forward protocol=tcp dst-port=25 src-address-list=spammer action=drop comment="" [COLOR=Black]disabled=yes
[/COLOR]/ip firewall filter add chain=forward protocol=tcp dst-port=465  src-address-list=spammer action=drop comment="" [COLOR=Black]disabled=yes[/COLOR]

[interhome]

Caramba ontem implantei novamente a regra e esqueci de da DROP so na porta monitorada, paro uma cidade minha desde as 10 da noite rss... ate agora cedo. puts...
Só bloqueio a porta 25, e 465... assim o cara nao para de navegar, msn, orkut, entre outros, so mesmo spam, q vem pela porta 25.
na Regra de FIREWAL DROP so adicionar as portas:

/ip firewall filter add chain=forward protocol=tcp dst-port=25 src-address-list=spammer action=drop comment="" [COLOR=Black]disabled=yes
[/COLOR]/ip firewall filter add chain=forward protocol=tcp dst-port=465  src-address-list=spammer action=drop comment="" [COLOR=Black]disabled=yes[/COLOR]

kk. Só não entendi como todos pararam, todos são SPAM ?

[aka2005]

kk. Só não entendi como todos pararam, todos são SPAM ?

Paro a navegaçao, pq a regra de conecçao... monitora quatas requisiçao tem a porta 25, so q dai a regra q o amigo pos la em baixo, adicionava na lista de SPAM o IP do cliiente, e a outra regra Bloqueava o IP, ai nao deixando o cliente faze mais nada... Ai eu coloquei essa forma ai em cima escrito, pra bloquear somente a porta monitorada. 25 e 465. assim o cliente navega ainda, com lentidao no caso, pq cliente com virus fica lento pacas a net.. isso quando pega. rs.

[edcomrocha]

Bom pessoal implantei a regra aqui, ate agora detectou 1 ip como spam o que esta na imagem em anexo.

Agora deixa eu ver se entendi bem essas regras

add chain=forward src-address-list=spammer action=log log-prefix="SMTP" comment="SPAMMERS LOG" disabled=no
Essa regra faz o log do protocolo SMTP que esta sendo usando no monento (Certo ou Errado ?).

add chain=forward protocol=tcp dst-port=465 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="AntiSPAM o AntiWORM" disabled=yes

add chain=forward protocol=tcp dst-port=25 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="" disabled=yes

Essas duas capturam do log da primeira regra o que esta enviando mais de 20 e-mail por minuto nas portas marcadas e joga pra address-list spammer (Certo ou Errado?).

add chain=forward protocol=tcp dst-port=25 src-address-list=spammer action=drop comment="" disabled=yes
add chain=forward protocol=tcp dst-port=465 src-address-list=spammer action=drop comment="" disabled=yes

E essas 2 ultimas pegam os Ip's que estão na addres-list Spammer e bloqueia as portas que estão marcadas nela (Certo ou Errado?)

Joguei as regras desativadas para evitar imprevisto, mais ja ativei todas.

Obrigado pela atenção dos amigos.

Abraços a todos

[interhome]

Bom pessoal implantei a regra aqui, ate agora detectou 1 ip como spam o que esta na imagem em anexo.

Agora deixa eu ver se entendi bem essas regras

add chain=forward src-address-list=spammer action=log log-prefix="SMTP" comment="SPAMMERS LOG" disabled=no
Essa regra faz o log do protocolo SMTP que esta sendo usando no monento (Certo ou Errado ?).

add chain=forward protocol=tcp dst-port=465 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="AntiSPAM o AntiWORM" disabled=yes

add chain=forward protocol=tcp dst-port=25 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="" disabled=yes

Essas duas capturam do log da primeira regra o que esta enviando mais de 20 e-mail por minuto nas portas marcadas e joga pra address-list spammer (Certo ou Errado?).

add chain=forward protocol=tcp dst-port=25 src-address-list=spammer action=drop comment="" disabled=yes
add chain=forward protocol=tcp dst-port=465 src-address-list=spammer action=drop comment="" disabled=yes

E essas 2 ultimas pegam os Ip's que estão na addres-list Spammer e bloqueia as portas que estão marcadas nela (Certo ou Errado?)

Joguei as regras desativadas para evitar imprevisto, mais ja ativei todas.

Obrigado pela atenção dos amigos.

Abraços a todos

Isso mesmo. Esse mesmo raciocinio pode se usar para virus ....

[aka2005]

Colega EDCOMROCHA.. seguinte cara....

add chain=forward src-address-list=spammer action=log log-prefix="SMTP" comment="SPAMMERS LOG" disabled=no

Essa regra faz o log do protocolo SMTP que esta sendo usando no monento (Certo ou Errado ?).CERTO
Essa regra ta certo gera LOG, (só q nao precisa fica gerando logs, pq usa memoria, a não ser q vc queira trabalhar com essas informaçoes, num banco d dados por ex.)

add chain=forward protocol=tcp dst-port=465 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="AntiSPAM o AntiWORM" disabled=yes

[COLOR=red]add chain=forward protocol=tcp dst-port=25 connection-limit=20,32 \
action=add-src-to-address-list address-list=spammer \
address-list-timeout=1m comment="" disabled=yes[/COLOR]

Essas duas capturam do log da primeira regra o que esta enviando mais de 20 e-mail por minuto nas portas marcadas e joga pra address-list spammer (Certo ou Errado?). ERRADO.
Essas 2 regras, monitoram a quantidade de requisiçao pra porta 465 e 25, passando de 20 requisiçao ele pega o IP do cliente, q ta requisitando e adiciona no ADRESS LIST do Firewal com nome de spammer.

add chain=forward protocol=tcp dst-port=25 src-address-list=spammer action=drop comment="" disabled=yes
add chain=forward protocol=tcp dst-port=465 src-address-list=spammer action=drop comment="" disabled=yes

E essas 2 ultimas pegam os Ip's que estão na addres-list Spammer e bloqueia as portas que estão marcadas nela (Certo ou Errado?) CERTO.
Isso mesmo amigo. Ele pega e bloqueia, ai no caso ele vai bloquear so as portas 25, e 465 q sao do serviço de EMAIL, assim o cliente navega usa msn ainda, tudo normal.

Obs.: No segundo bloco de REGRAS, tem a opção no address-list-timeout=1m Essa Opção adiciona a regra la no adres, durante 1 minuto somente, o q eu fiz aki foi mudar ela pra 1 hora. assim o cliente fica bloqueado 1 hora ai eu detecto ele na lista, e ja ligo avisando q ta com virus.

[edcomrocha]

Humm, entendido Aka, entao no caso nao preciso da primeira regra ?
Ou ela tem que rodar pra dizer alguma coisa pras outras 2 que monitoram as portas?
Estou perguntando isso porque gosto de saber onde estou mexendo, com que estou mexendo e pra que estou mexendo, nao que eu nao copie e cole, faço isso sim, so que aprendendo tambem e entendedno o que estou fazendo.

Obrigado a você e ao Interhome tambem por disperdiçar o tempo de você me ajudando.


Abraços a todos.

[aka2005]

A primeira regra é so pra gerar log, é usado pra quem trabalha com programa q usa banco de dados, assim o cara pega os dados e faz um relatório... eu nao uso essa regra pq gasta processamento da RB ou PC, e memoria. fora o LOG q fica cheio.rs...

[mktguaruja]

Depois que você comentou sobre os log, eu tava dropando conexões invalidas de cliente, e fazendo log ¬¬. Você comentou que gasta memoria e processamento desativei, subindo quase 5mb de memoria. rsrs

obrigado pela dica !

A primeira regra é so pra gerar log, é usado pra quem trabalha com programa q usa banco de dados, assim o cara pega os dados e faz um relatório... eu nao uso essa regra pq gasta processamento da RB ou PC, e memoria. fora o LOG q fica cheio.rs...

[edcomrocha]

Entendido, agora esta tudo certo por aqui, eu acho.

Agradeço a todos pela colaboraçao


Abraços.

[netuai]

galera, mas como estão os firewalls de vcs e regras? eu to tendo muitos virus na minha rede, mas dificil bloquear, ja implementeri muitas regras aqui do forum e nada, minha rede tem ficado lenta em alguns instantes e sem estabilidade, e o pior ne, se ta passando virus, eles sirculam na rede