Página 1 de 2 12 ÚltimoÚltimo
+ Responder ao Tópico



  1. #1
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Arrow DHCP no Mikrotik: todo cuidado é pouco!!!

    Bom dia amigos,

    para minha surpresa hoje de manhã ao fazer uma espécie de auditoria em meu provedor descobri vários usuários burlando o controle de banda. Levei um susto, pois clientes que tem apenas 200k de banda estavam navegando e baixando arquivos a mais de 1 megabit de velocidade. Por algum motivo os danados ou algum programa que os mesmos estão utilizando descobriram que utilizando o endereço liberado pelo servidor DHCP pode ser usado para navegar e, assim, saindo do controle de banda do Queues do Mikrotik.

    Depois do susto pensei em controlar os usuários também pelos endereços DHCP, porém como são muitos clientes daria um "trabalhão" para configurar todos novamente. Solução: desativei o DHCP Server e estou aguardando para ver a reação desses clientes e para ver se os mesmos continuarão navegando. Aqui uso PPPoE. Quero vê a cara de pau deles reclamarem!

    Mas fica o alerta: muito cuidado com DCHP Server do Mikrotik!!!

  2. #2
    Avatar de marcelomg
    Ingresso
    Jan 2006
    Localização
    São Lourenço do Sul, Brazil
    Posts
    1.476

    Padrão

    ??????????????
    No PPPoe o controle da banda não é pelo login? ou vc ta fazendo pelo queues? ai da zica...



  3. #3
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Talking

    Desculpe,

    eu que não entendi a sua pergunta colega. Não preciso de ajuda, já solucionei o problema. Aliás, atualmente conheço muito bem o Mikrotik. Eu fiz apenas um alerta a todos: "Muito cuidado com o DHCP no Mikrotik". De qualquer forma obrigado. E você? Precisa de ajuda?

  4. #4

    Padrão

    o que eu entendi é que os clientes não discam o pppoe, e conseguem navegar do mesmo jeito. E como a regra de limite de velocidade está setada baseando-se no ip dado pelo pppoe server, os caras navegam sem limite nenhum de velocidade. Aconteceu o mesmo aqui, descobri por acaso quando estava instalando em um cliente. Mas resolvi rápido. Infelizmente já faz algum tempo e não lembro o que fiz para corrigir o problema.



  5. #5
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Padrão

    Bem,
    aqui estava tudo configurado para somente navegar quem discasse o PPPoE. Mas para a minha surpresa esses clientes estavam conseguindo navegar sem discar, pois estavam utilizando o endereço fornecido pelo DHCP em vez do endereço IP fornecido pelo PPPoE. Eu ativei o DHCP Server por que muitos clientes ficavam ligando dizendo que a sua conexão estava com problema, pois aparecia a mensagem de aviso de problemas de conexão por que a placa PCI não pegava um IP (aquele velho conhecido símbolo de exclamação em cima do computador do lado direito, embaixo).

  6. #6
    xargs -n 1 kill -9 Avatar de sergio
    Ingresso
    Jan 2004
    Localização
    Capital do Triângulo
    Posts
    5.202
    Posts de Blog
    9

    Padrão

    Mas dessa forma tem haver problemas mesmo... PPPoE e DHCP na mesma rede?? Isso não é problema do Mikrotik e sim configuração mal feita.



  7. #7
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Padrão

    Citação Postado originalmente por sergio Ver Post
    Mas dessa forma tem haver problemas mesmo... PPPoE e DHCP na mesma rede?? Isso não é problema do Mikrotik e sim configuração mal feita.
    E onde está escrito que DHCP e PPPoE não podem funcionar na mesma rede? Além disso abri este tópico apenas com o intuito de ajudar. Eu percebi que havia um problema e o corrigi. Muitos não conseguiriam resolvê-lo.
    Última edição por MarceloGOIAS; 15-01-2008 às 19:03.

  8. #8
    Avatar de marcelomg
    Ingresso
    Jan 2006
    Localização
    São Lourenço do Sul, Brazil
    Posts
    1.476

    Padrão

    Citação Postado originalmente por MarceloGOIAS Ver Post
    E onde está escrito que DHCP e PPPoE não podem funcionar na mesma rede? Além disso abri este tópico apenas com o intuito de ajudar. Eu percebi que havia um problema e o corrigi. Muitos não conseguiriam resolvê-lo.
    O Sergio não falou isso (na minha interpretação), mas até agora vc só comentou e não mostrou a solução.
    Respondendo sua pergunta, não, não preciso de sua ajuda até pq minha rede está redondinha, mas se vc precisar de juda com o dhcp é só falar, ops... escrever!! hehehe



  9. #9

    Exclamation Segurança

    Trecho de texto retirado do manual oficial do Mikrotik, sessão PPPOE
    http://www.mikrotik.com/testdocs/ros...face/pppoe.php

    Security issue: do not assign an IP address to the interface you will be receiving the PPPoE requests on
    Tradução: Questão de segurança: Não atribua um endereço IP à interface que receberá as requisições PPPOE.

    Aqui faço assim: Sigo a dica acima, de nao atribuir endereço IP na interface do servidor PPPOE, habilito o DHCP, mas dando ips em uma faixa nada a ver com a que uso, só pra nao ter akela famosa lentidão pra iniciar o windows XP, depois crio a conexão pppoe no cliente, essa sim dará os ips certos ao conectar. Nunca tive qualquer tipo de problemas com "espertinhos"

    Espero ter coloborado...

  10. #10

    Padrão

    Citação Postado originalmente por sergio Ver Post
    Mas dessa forma tem haver problemas mesmo... PPPoE e DHCP na mesma rede?? Isso não é problema do Mikrotik e sim configuração mal feita.

    Concordo plenamente, e acrescento estamos trocando idéias independendo de se estar pedindo ajuda ou não.



  11. #11
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Padrão

    O problema é que o Sérgio foi muito agressivo em sua resposta. Conforme resposta do colega acima foi o que eu pensei... "independente de estar pedindo ajuda ou não". Se a rede do MarceloMG estiver configurada conforme as grosseiras respostas deve ser uma droga.

  12. #12
    xargs -n 1 kill -9 Avatar de sergio
    Ingresso
    Jan 2004
    Localização
    Capital do Triângulo
    Posts
    5.202
    Posts de Blog
    9

    Padrão

    Citação Postado originalmente por MarceloGOIAS Ver Post
    O problema é que o Sérgio foi muito agressivo em sua resposta. Conforme resposta do colega acima foi o que eu pensei... "independente de estar pedindo ajuda ou não". Se a rede do MarceloMG estiver configurada conforme as grosseiras respostas deve ser uma droga.
    Mas como deveria responder??? O título do tópico menciona falha no Mikrotik, quando a falha foi causado por uma configuração mal feita... Falar a verdade, de maneira curta e grossa é agressividade?

    Desculpe então, na próxima não comento nada e deixo que todos os outros que leiam o post achem realmente o Mikrotik um barco furado em questão de segurança.



  13. #13

    Padrão

    Esse problema do xp com "!" na placa de rede pode ser resolvido atribuindo uma faixa de ip ficticia manualmente, ou um AP Client com dhcp ativo na rede.

  14. #14
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Thumbs up

    Citação Postado originalmente por sergio Ver Post
    Mas como deveria responder??? O título do tópico menciona falha no Mikrotik, quando a falha foi causado por uma configuração mal feita... Falar a verdade, de maneira curta e grossa é agressividade?

    Desculpe então, na próxima não comento nada e deixo que todos os outros que leiam o post achem realmente o Mikrotik um barco furado em questão de segurança.
    Prezado Sérgio,
    Você se precipitou na resposta! No título não está escrito falha no Mikrotik. Está escrito que se deve tomar cuidado com DHCP no Mikrotik. Por favor, leia novamente.



  15. #15
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Padrão

    Citação Postado originalmente por gsiena Ver Post
    Trecho de texto retirado do manual oficial do Mikrotik, sessão PPPOE
    http://www.mikrotik.com/testdocs/ros...face/pppoe.php

    Security issue: do not assign an IP address to the interface you will be receiving the PPPoE requests on
    Tradução: Questão de segurança: Não atribua um endereço IP à interface que receberá as requisições PPPOE.

    Aqui faço assim: Sigo a dica acima, de nao atribuir endereço IP na interface do servidor PPPOE, habilito o DHCP, mas dando ips em uma faixa nada a ver com a que uso, só pra nao ter akela famosa lentidão pra iniciar o windows XP, depois crio a conexão pppoe no cliente, essa sim dará os ips certos ao conectar. Nunca tive qualquer tipo de problemas com "espertinhos"

    Espero ter coloborado...

    Certo amigo,
    obrigado por sua útil e educada contribuição.
    Quando abri esse tópico pensava apenas em contribuir também. Mas parece que alguns não leram o tópico todo; ou seja, em nenhum momento eu escrevi que há falhas no Mikrotik; segundo, a solução Marcelomg está lá na abertura. Pode desativar o DHCP ou fazer configurações manuais. Quanto a atribuir uma faixa fictícia de IP também pode ser perigoso. Vai lá que algum espertinho descobre essa faixa de IP e consiga alguma coisa. Lembrem-se (como todos devem saber): em se tratando de sistemas nenhum é 100% seguro. De vez em quando são necessárias verificações rotineiras como eu fiz para evitar surpresas.

    Obrigado a todos pelo interesse e colaboração.

  16. #16

    Padrão

    Citação Postado originalmente por MarceloGOIAS Ver Post
    Bom dia amigos,

    para minha surpresa hoje de manhã ao fazer uma espécie de auditoria em meu provedor descobri vários usuários burlando o controle de banda. Levei um susto, pois clientes que tem apenas 200k de banda estavam navegando e baixando arquivos a mais de 1 megabit de velocidade. Por algum motivo os danados ou algum programa que os mesmos estão utilizando descobriram que utilizando o endereço liberado pelo servidor DHCP pode ser usado para navegar e, assim, saindo do controle de banda do Queues do Mikrotik.

    Depois do susto pensei em controlar os usuários também pelos endereços DHCP, porém como são muitos clientes daria um "trabalhão" para configurar todos novamente. Solução: desativei o DHCP Server e estou aguardando para ver a reação desses clientes e para ver se os mesmos continuarão navegando. Aqui uso PPPoE. Quero vê a cara de pau deles reclamarem!

    Mas fica o alerta: muito cuidado com DCHP Server do Mikrotik!!!
    Espero que minha resposta resolva este post...

    Amigo vc pode até deixar o DHCP server na sua rede mais para isso vc tem que criar uma regrinha no seu firewall para bloquear o acesso da rede externa ao seu web-proxy (porta 8080) caso vc esteja usando.

    De qualquer forma eu aconselho vc Criar um DHCP server com outra faixa que nao seja a faixa que o POOL do seu Pppoe esteje trabalhando. Assim mesmo que um "Suposto cliente" esteje tentando entrar na sua rede, terá seu ip atribuído por DHCP mais ele nao conseguirá navegar. Aqui na minha rede eu uso um DHCP inválido ex: 128.0.0.1/24

    Segue a regra. Modifique conforme sua necessidade...

    /ip firewall filter

    add chain=input in-interface=ether3 dst-address=0.0.0.0/0 protocol=tcp \
    dst-port=8080 action=drop comment="drop para clientes externos TESTE" \
    disabled=no
    Última edição por infantefox; 16-01-2008 às 13:28.



  17. #17
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Padrão

    Certo,

    mas essa regra aí é para o Web Proxy. Estamos falando de DHCP (server). Qual é a ligação dessa regra aí com DHCP?

  18. #18
    xargs -n 1 kill -9 Avatar de sergio
    Ingresso
    Jan 2004
    Localização
    Capital do Triângulo
    Posts
    5.202
    Posts de Blog
    9

    Padrão

    Citação Postado originalmente por MarceloGOIAS Ver Post
    Prezado Sérgio,
    Você se precipitou na resposta! No título não está escrito falha no Mikrotik. Está escrito que se deve tomar cuidado com DHCP no Mikrotik. Por favor, leia novamente.
    Ok MarceloGOIAS, não vou polemizar mais do que é necessário. Apenas mostrei meu ponto de vista de maneira simples e concisa.



  19. #19

    Padrão

    Citação Postado originalmente por MarceloGOIAS Ver Post
    Certo,

    mas essa regra aí é para o Web Proxy. Estamos falando de DHCP (server). Qual é a ligação dessa regra aí com DHCP?

    Caro MarceloGOIAS, essa regra impede que os usuarios externos que nao estao cadastrados no seu secrets do ppoe naveguem em sua rede, bloqueando assim seu acesso ao seu web-proxy, ou seja, se vc colocar um dhcp server na sua rede e o cliente apontar a antena pra sua rede obviamente ele vai pegar toda a configuração necessária para navegar, ex IP. GATEWAY, DNS, porém implementando essa regra o "cliente externo" (que nao esta cadastrado no secrets) nao tem acesso ao seu WEB-PROXY sendo assim não navega.
    Espero ter ajudado

  20. #20
    Eng. Eletricista/Eletrôni Avatar de MarceloGOIAS
    Ingresso
    Feb 2007
    Localização
    Goiânia
    Posts
    2.120
    Posts de Blog
    2

    Thumbs up

    Obrigado,

    mas sempre tive essa regra regra no Web Proxy, mas não adiantou nada.