سلمان دهمش

    فايرول كامل للبورت 53 لايقاف برامج مثل الفريدوم وغيرها من البرامج التي تتجاوز سرفر الهوتسبوت وتستهدف البورت 53     تثبيت dns  وهمي مع gateway الشبكة طبعا هذا اختياري الحماية تشتغل بكل حالات الdns { :foreach i in=[/ip dhcp-server network find ] do={ :local a [/ip dhcp-server network get $i gateway]; /ip dhcp-server network set $i dns-server=($a,192.168.168.167) ; }   }      سكربت المانجل والفلتر   /ip firewall mangle add action=mark-packet chain=prerouting connection-state=established dst-port=53 hotspot=from-client,!auth new-packet-mark=53port passthrough=no protocol=tcp add action=mark-packet chain=prerouting connection-state=established dst-port=53 hotspot=from-client,!auth new-  packet-mark=53port passthrough=no protocol=udp     سكربت الفلتر عشان يعمل دروب لباكت المانجل /ip firewall filter    add action=drop chain=input packet-mark= 53port place-before=0 comment=salmandahmash

  فكرة الحماية هي عند محاولة الدخول للنظام بإسم مستخدم او كلمة مرور خطأ 10 مرات يتم حظر الsrc مباشرة ثم يتم فك الحظر عند اعادة تشغيل النظام  ملاحظة  يرجى تغيير بورت الوينبوكس وبورت المتصفح في الاسكربت حسب بورت شبكتك حيث البورت الافتراضي في الاسكربت =8291,81 81 WWWهو بورت المتصفح 8291 WINBOXهو بورت الوينبوكس هام: قبل تنفيذ الاسكربت يرجى عمل نسخة احتياطية للنظام سكربت الحماية   /ip firewall filter add action=jump chain=input content=user dst-address-type=local dst-port=\     8291,81 jump-target=salman-firewall protocol=tcp add action=add-src-to-address-list address-list=salman-firewall \     address-list-timeout=none-dynamic chain=salman-firewall connection-limit=\     15,32 /ip firewall raw add action=drop chain=prerouting dst-port=8291,81 protocol=tcp \ src-address-list=salman-firewall

  VLAN FILTERING / MIKROTIK اقدم لكم طريقة عمل VLAN filtering بالشكل الصحيح في سرفر  Mikrotik .   سكربت : { :foreach i in=[/interface vlan find] do={ :local b [/interface vlan get $i vlan-id]; /interface bridge vlan add bridge=out tagged=ether2,out vlan-ids=$b ; } } نسخ شرح الاسكربت : تغيير اسم البريدج الخاص بشبكتك بدلا من out في الاسكربت السابق ثم انسخ الاسكربت والصق في نيوترمنال   المرحلة الثانية من القائمة  bridge / vlan  تقوم بتحديد المنفذ الخاص بالفيلان في tagged مثال لدينا فيلان رقم 200 في المنفذ 5 يتم تغيير المنفذ من ether2 الى ether5 في bridge/vlan  ونفس الشيء لبقية الفيلانات . انا ما انصح بعمل tagged لكل المنافذ في حال وجود فيلان مكرر تحدث مشكلة وايضا  الbridge host يتضاعف العدد بشكل كبير.  طبعا انا عملت المنفذ الافتراضي في الاسكربت ether2 وبعد الانتهاء من ترتيب كل فيلان في المنفذ الخاص به بتروح الى bridge وتفتح البردج ويتم تفعيل خيار vlan-filtering  ثم النقر على OK واخيراً اعادة تشغيل النظام ملحوظة : يجب عمل نس...

يقوم هذا الاسكربت بمعرفة اجهزة DHCP snooping الغير مصرح لها في الشبكة وحظرها واظهار تفاصيل الجهاز في تسجيلات النظام Log ويفضل استخدام الاسكربت بدلا من خيارDHCP snooping في bridge   لكي يتم معرفة هوية الجهاز عن طريق  ip + mac address الجهاز عن طريق log .. للمزيد من التفاصيل عن DHCP snooping عن طريق الرابط  https://help.mikrotik.com/docs/spaces/ROS/pages/328068/Bridging+and+Switching#BridgingandSwitching-DHCPSnoopingandDHCPOption82 و اخيرا سكربت الحماية : /interface bridge nat add action=drop chain=dstnat disabled=no ip-protocol=udp log-prefix=DHCP-SNOOPING mac-protocol=ip src-port=67 نسخ

ملخص عن الحماية حماية حظر Multicast (igmp-proxy)  مهم جدا خاصة للشبكات الذي يستخدموا اكسس بوينت مثل tplink 801 وغيرها من الاجهزة الذي يعمل فيها igmp proxy افتراضيا بالتالي يحصل تهنيج وثقل في الشبكة ,,    ملحوظة  : يقوم الفايرول بحظر ترافك Multicast اجهزة الجوال والكمبيوتر بالتالي يتحسن اداء الشبكة بشكل عام . هام : الحماية تعتمد على Bridge المايكروتك وبعد نسخ الحماية ستجدها في قائمة  Bridge-Nat مزيد من التفاصيل عن طريق الرابط  https://help.mikrotik.com/docs/spaces/ROS/pages/328068/Bridging+and+Switching#BridgingandSwitching-IGMP/MLDSnooping سكربت الفايرول IPV4 + IPV6 : /interface bridge nat add action=drop chain=dstnat dst-mac=01:00:5E:00:00:00/FF:FF:FF:00:00:00 packet-type=multicast /interface bridge nat add action=drop chain=dstnat dst-mac=33:33:00:00:00:00/FF:FF:FF:00:00:00 mac-protocol=ipv6 packet-type=multicast ⁩ نسخ   انتهى الشرح .

ش شرح ربط روترين توزيع مع روتر خاص باليوزر منجر'. وليكن لدينا روتر 1100x2 توزيع و روتر 2011 توزيع ولدينا روتر 1100x4 خاص باليوزر منجر فقط كمثال👆 طريقة الربط : نبدا بإعداد روتر 1100x2 من القائمة  ip address ثم اضافة ip   192.168.30.2/24للمنفذ رقم 5 كما في الصورة 👇 ننتقل الان الى قائمة Radius في روتر 1100x2 نقوم بعمل اضافة جديدة وتعبئة الحقول كالتالي address=192.168.30.1 secret=1234566 timeout=5000 لمزيد من التوضيح انظر الى الصورة👇 هنا انتهينا من اعداد روتر 1100x2😁 . ننتقل الى روتر التوزيع الثاني 2011 طريقة الربط : إعداد روتر 2011 من القائمة  ip address ثم اضافة ip   192.168.31.2/24للمنفذ رقم 5 كما في الصورة 👇 ثم ننتقل الى قائمة Radius في روتر 2011 نقوم بعمل اضافة جديدة وتعبئة الحقول كالتالي address=192.168.31.1 secret=1234566 timeout=5000 لمزيد من التوضيح انظر الى الصورة👇 هنا انتهينا من اعداد روتر 2011😁 . طريقة تجهيز روتر اليوزر منجر 1100x4   من القائمة ip address ثم اضافة 192.168.30.1/24 للمنفذ رقم 3 و سيتم ربط كابل من منفذ رقم 3 في 1100x4 الى م...

  لمحة عن VLAN شبكة المنطقة المحلية الافتراضية (VLAN) هي طريقة من الطبقة 2 تسمح بشبكات LAN افتراضية متعددة على واجهة مادية واحدة (إيثرنت، لاسلكي، إلخ)، مما يتيح القدرة على فصل شبكات LAN بكفاءة. مقدمة عن الاسكربت يقوم الاسكربت بإضافة الفيلان من الرقم 2 الى الرقم 254 دفعة واحدة الى المايكروتك عبر الترمنال مميزات الاسكربت     اضافة الفيلان ID من الرقم 2 الى 254 دفعة واحدة.     اضافة مايتطلبة الفيلان لتشغيل سرفر الهوتسبوت وهي : ADDRESS + POOL + DHCP- SERVER+DHCP NETWORK+NAT+ HOTSPOT   متطلبات لتنفيذ الاسكربت 1- تعديل ال ID في الاسكربت حسب احتياجك للفيلان . 2- تعديل الرنج 172.18 في الاسكربت بحيث لا يكون موجود مسبقا في المايكروتك . 3- تغيير إسم البروفايل في الاسكربت الى إسم البروفايل الذي تستخدمة في الهوتسبوت . 4- تعديل إسم منفذ الخروج في الاسكربت حسب منفذ خروج شبكتك علما ان منفذ الخروج في الاسكربت = BRIDGE1 سكربت اضافة فيلان : { :for num2 from=2 to=254 do={ /interface vlan add name="$num2" vlan-id=$num2 mtu=1500 interface=bridge1 comment=6 } } ...