Перехват пароля к FTP серверу с помощью роутера Mikrotik

Вводная: Есть программа с "захардкорженным" в коде паролем с доступом к FTP. Необходимо узнать пароль.

Решение: Так как в качестве роутера у нас Mikrotik RB951Ui-2HnD, то будем использовать его. Заходим в winbox. В меню выбираем Tools - Packet Sniffer. Если стоит галочка "Only Headers" снимаем её.

На вкладке Filter выставляем Port - 21.

Далее нажимаем "Start". Пробуем получить обновления через программу. Если пакеты пошли хорошо, есть нет, то вариант чуть сложнее - убираем порт и смотрим все пакеты от данного компьютера - вероятно (если мы уверены, что используется FTP) используется не стандартный порт.

Узнать порт также можно простым запросом у техподдержки вашей программы - объяснив, что "системный администратор не открывает доступ по всем портам, а только по списку".

Далее нажимаем "Packets" и смотрим все пакеты подряд (Нас интересует вкладка "Packet") - в каком-нибудь из них, будет строка "PASS" и далее пароль который нам нужен.

Как вариант можем сделать сохранение в файл - на вкладке General. И сделать поиск по подстроке "PASS"

Ежедневная смена пароля на роутере Mikrotik на пароль построенный по дате

Вводная: "Иван, у меня есть тривиальная задача для микротик. Мне нужно ежедневно в 12 часов ночи менять пароль на вай-фае на текущую дату без точек (16012017 например вот так). Я так думаю, что можно решить скриптом, но не знаю, честно говоря, с какой стороны к этой проблеме подойти"

Решение: Идею взял на http://kvas.livejournal.com/679174.html

:local wifiProfile wifiMyProfile

:local dateNow [/system clock get date];
:local dateNowDay [:pick $dateNow 4 6]
:local dateNowMonth [:pick $dateNow 0 3]
:local dateNowYear [:pick $dateNow 7 11]

:local months ("jan","feb","mar","apr","may","jun","jul","aug","sep","oct","nov","dec");
:set dateNowMonth ([:find $months $dateNowMonth -1 ] + 1)

:if ( $dateNowMonth < 10 ) do={
:set $dateNowMonth ("0"."$dateNowMonth");
};

:log info message="==== NOW DATE: day: $dateNowDay month: $dateNowMonth year: $dateNowYear"

:local newPassword ("$dateNowDay" . "$dateNowMonth" . "$dateNowYear");
:log info message="==== NEW PASSWORD: $newPassword"

/interface wireless security-profiles set [find name=$wifiProfile] wpa2-pre-shared-key=$newPassword


Всё это добавляется в System-Script и вызывается в 0:05 через шедулер.

"Колхозное" крепление Mikrotik SXT

Иногда нужно срочно устанавливать точку доступа Mikrotik SXT, причём не на мачту, а на стену. Но нормального крепления ( https://routerboard.com/QM ) нет. Да и вообще никаких креплений, кроме стандартного, нет. А магазины где можно купить что-либо для микротика далеко.

В таком случае может помочь использование такой штуки как "ответная часть петли". Стоит рублей 50. Отверстия для крепления есть. Нагрузку в виде антенны точно выдержит :) Продаётся в разных хозяйственных и строительных магазинах.

Mikrotik: как посмотреть кто из пользователей забивает канал и как ограничить ему скорость?

Увидел вопрос-ответ на http://spw.ru/support/voprosotvet/podklyuchenie/vopros5/
"Mikrotik 1100AH как посмотреть кто из пользователей забивает канал и как ограничить ему скорость?" и решил поделится немного другим способом.

На мой взгляд, приведённый в ответе способ через Tools-Torch не очень наглядно показывает скорость, так как там идёт разбивка по IP адресам.

Так что иногда может помочь определение "качальщика" через Simple Queue.
Создаём для пользователей нашей сети следующие правила -
/queue simple
add max-limit=1G/1G name=X220 target=192.168.0.100/32
add max-limit=1G/1G name=MainComp target=192.168.0.200/32

Далее создаём правило ограничивающее скорость для всех кто не указан в перечислении выше:
/queue simple
add max-limit=2M/2M name="All Other" target=192.168.0.0/24

Теперь чтобы увидеть кто и с какой скоростью качает можно просто смотреть в окно Queue. Причём в достаточно человекопонятном виде.

Также из плюсов можно отметить, что можно смотреть (и ограничивать) скорость не только по IP адресам, но и по подсетям (а там можно разбить к примеру по кабинетам, подразделениям или как вам удобно).

И можно сразу же, ограничить пользователя который увлёкся :)

PS: Не забывайте, что Queue даёт нагрузку на процессор. Так что проверяйте можно или нет это использовать в вашем случае.

Как на mikrotik cделать фильтрацию трафика с 22:00 до 10:00

Вопрос: Как на mikrotik одним правилом сделать фильтрацию трафика с 22:00 до 10:00? На cisco без проблем. Здесь же говорит "couldn"t add new firewall rule - start time bigger than end time". Если ставить 20:00:00 и 1d 10:00:00 то говорит "Error interval". Mikrotik так не умеет или я что-то делаю не так?

Ответ: Одним правилом сделать это нельзя - mikrotik не воспринимает такие диапозоны, но есть варианты

(далее блокируется пинг до Google DNS 8.8.8.8, не забудьте удалить после тестов)

0) Стандартный способ - использовать два правила с временными промежутками 22:00:00-23:59:59 и 00:00:00-10:00:00

1) Использовать через запрет - Где-то в конце есть правило, которое запрещает, а конкретным правилом разрешать.

/ip firewall filter
add chain=forward dst-address=8.8.8.8 protocol=icmp src-address=192.168.0.0/16 time=10h-22h,sun,mon,tue,wed,thu,fri,sat

add action=reject chain=forward protocol=icmp src-address=192.168.0.0/16

2) Использовать шедулер -
также создаём правило в файрволе, но не указываем конкретное время -

/ip firewall filter
add action=reject chain=forward dst-address=8.8.8.8 protocol=icmp src-address=192.168.0.0/16

Далее получаем номер правила с помощью
ip firewall filter print

И теперь создаём два правила шедулера -

/system scheduler
add interval=1d name=schedule1 on-event="ip firewall filter disable 1\r\
    \n" policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=sep/19/2016 start-time=10:00:00
add interval=1d name=schedule2 on-event="ip firewall filter enable 1\r\
    \n" policy=ftp,reboot,read,write,policy,test,password,sniff,sensitive start-date=sep/19/2016 start-time=22:00:00

Это даёт нам несколько преимуществ -

1. Мы не привязаны только к правилам файрвола и можем работать с чем угодно - интерфейсы, пользователи и може делать всё что нам захочется.
2. Если правил для фильтрации много, то в случае изменения временного промежутка нам надо поменять в ОДНОМ месте, иначе пришлось бы менять во всех где используется временной фильтр.
3. В случае если надо выключить (или включить) фильтрацию, то можно запустить один скрипт который это всё сделает, а не менять время на интерфейсах (или на самом роутере)
4. Более гибкая работа со временем. Можно сделать несколько разных фильтраций с разными правилами и фильтрациями.

3) Немного "костыльный" способ - через изменение текущего часового пояса - то есть если у нас Московкий часовой пояс +3, то выбираем -7, и теперь надо указывать промежуток - от 12:00:00, до 23:59:59

PS: Надо не забывать обязательно настраивать синхронизацию по времени в случае работы с учётом времени.

Mikrotik и проблема с первым портом

Вводная: Новый роутер mikrotik 951Ui-2HnD. Интернет по PPPoE - приезжаем ставить к заказчику. Не работает. При прямом подключении к ноутбуку всё спокойно. Сбрасываем конфигурацию, пробуем настроить с нуля - не работает. На другом объекте никаких проблем с этим роутером нет, также в офисе все проверки проходит и везде подключается.

Решение: Изначально считали, что "глюк" провайдера, но РТК кивал на то, что
а) с ноутбука всё работает
б) если подключаешь простейший D-Link то тоже всё работает.
Ради интереса решили переткнуть в другой порт на роутере (на ether5), заработало без проблем и плясок с бубном.

Далее провели небольшое исследование и выяснили, что если переобжать кабель от провайдера по четырёхпроводной схеме (1, 2, 3 и 6 пин), то проблема уходит. При этом мультиметром на "лишних" парах никакого напряжения нет. Видимо шум, помехи или что-то ещё.

Учитывая, что первый порт это PassivePoE-In, то видимо он пытался получить питание, или конфликтовал с питанием от БП, или срабатывали какие-либо фильтры. Или ещё какие-нибудь возможные проблемы - если есть предположения - пишите в комментарии.

PS: Также подсказывают, что иногда в таких случаях, помогает замена блока питания на более мощный.

PS2: Такие же глюки (из-за БП) могут быть на оборудовании подключённом через PoE-Out порт. Если блок питания корявый или малой мощности - жди глюков.

Mikrotik, WiFi и продукция apple

Вводная: После установки точки доступа фирмы Mikrotik через wifi работает все, кроме продукции уважаемой фирмы Apple (iphone, ipad, appleTV, iPod и прочего)

Решение: Так как проблем может быть несколько, то проверяйте по пунктам -

• Включенный TKIP в настройках профиля безопасности - самая распространённая ошибка, так как на роутерах Mikrotik он включён по умолчанию. Проявляется при одновременной работе 802.11n и включенном TKIP. Тут всё просто - снимаем галочку с TKIP, оставляем AES.
  
• Отключена поддержка WMM (Wi-Fi Multimedia) - если она отключена, то работать ничего не будет. Подробнее - https://support.apple.com/ru-ru/TS3727 (по умолчанию включена)
• Запрет доступа на сайты + доступ по белому списку. Ошибка возникает при запрете доступа в частности к адресу www.apple.com/library/test/success.html
• В устройствах apple не поддерживаются широкие каналы (40MHz) в сетях 2.4 - так что здесь всё просто, если вы используете диапазон 2.4Ghz, то не включайте широкие каналы 40Mhz. Используйте только 20Mhz
• Возможны проблемы при ненастроенном (или неверно настроенном) времени на обеих устройствах - всё просто, на роутере включаете синхронизацию (через NTP или IP-Cloud), на apple-device либо выставляете нужное время, либо берёте с оператора
• отключенный режим скорости в 11mb/s (и соответственно режима 802.11b) - неизвестно почему, но порой возникают проблемы при его отключении

После этих всех настроек всё равно не подключается? Попробуйте
1) "Забыть" настройки сетей на iphone,
2) Создать Virtual-AP и настроить её заново (желательно с новым профилем безопасности, но можете попробовать и старый) и добавить в один бридж с неработающей.

Также из раздела шаманства могут помочь следующие вещи -

• Смена канала wifi
• Обновление прошивки (и роутера, и устройства apple - для примера разница в работе 5 и 6 версии IOS очень существенна)
• Сброс и настройка "с нуля"
• Проверить, что включена галочка "Default Authenticate" и нет фильтрации по MAC`у
• Проверить, что в вашем DHCP-пуле есть свободные адреса
• Проверить уровень сигнала - если у вас он очень низкий, точка доступа находиться за тремя бетонными стенами или в 100 метрах от вас, то у меня плохие новости - может ВООБЩЕ не получится настроить
• Иногда помогает установить disconnect-timeout=15s (по умолчанию идет 3сек)
• Включить логи system logging add topics=wireless и посмотреть, что творится