Пост канала
- видео
👋 Привет, сетевой друг! Собрал три не самые очевидные настройки MikroTik для защиты локальной сети. Разберём, как не дать чужому коммутатору изменить STP-топологию, ограничить ARP и защитить VLAN от неправильных подключений. 🟣Не дать чужому коммутатору стать Root Bridge. Допустим, в сеть подключили коммутатор с более высоким приоритетом STP. Он может стать новым корневым мостом и изменить пути прохождения трафика. В RouterOS 7 для таких портов есть restricted-role: /interface bridge port set [find interface=ether5] restricted-role=yes Теперь порт не сможет стать root port, даже если сосед начнёт присылать более приоритетные BPDU. Это аналог Root Guard, полезный на соединениях с недоверенными коммутаторами. 🟣Ограничить ARP через известные IP и MAC. Поддельные ARP-ответы могут использоваться для перехвата трафика. В MikroTik можно связать DHCP-аренды с ARP-таблицей: /ip dhcp-server set [find name=dhcp1] add-arp=yes /interface bridge set bridge1 arp=reply-only Теперь MikroTik будет отвечать на ARP-запросы только для адресов из своей таблицы, а DHCP-сервер сможет автоматически добавлять записи. 🟣Но это не полноценная защита от ARP Spoofing между клиентами: чужие ARP-пакеты внутри одного VLAN такая настройка не проверяет. Статические адреса тоже придётся учитывать отдельно. 🟣Не пропускать чужие VLAN на клиентских портах. Ошибка в настройке trunk может привести к тому, что обычный клиентский порт начнёт принимать tagged-трафик. В RouterOS можно ограничить тип входящих кадров: /interface bridge port set [find interface=ether3] \ pvid=20 \ frame-types=admit-only-untagged-and-priority-tagged \ ingress-filtering=yes Теперь ether3 принимает только нетегированные и priority-tagged кадры, а входящие VLAN проверяются по разрешённым для порта. Для этого нужна корректная таблица /interface bridge vlan и включённый vlan-filtering=yes. Перед включением проверьте настройки, чтобы случайно не потерять доступ. 🟣В итоге restricted-role защищает STP-топологию, ARP-настройки ограничивают использование неизвестных адресов, а VLAN Filtering не даёт клиентским портам принимать чужой tagged-трафик. 🤖Бесплатный ChatGPT
Открыть в MAX- Просмотры
- 102
- ER
- 2,9%
- Реакции
- 3