+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Запросы на функционал для версии 7.x по улучшению сетевой безопасности

Запросы на функционал для версии 7.x по улучшению сетевой безопасности, RouterOS

robertpenz

Guest

22.02.2014 16:24:00

Привет! Очень хотелось бы видеть следующие функции, особенно для CRS. Проводная аутентификация по MAC через Radius с динамическим назначением VLAN через Radius. Проводная 802.1x аутентификация через Radius с динамическим назначением VLAN через Radius. Проводная двойная аутентификация (MAC и 802.1x) через Radius. Следующее — для всех роутеров/коммутаторов: защита от ARP-спуфинга и то же самое для IPv6. Привязка ARP-таблицы к записям DHCP в режиме DHCP Relay (чтобы пока аренда действительна, на IP мог использоваться только этот MAC). Заранее спасибо. С уважением, Роберт.

Zorro

Guest

16.04.2014 12:58:00

Что касается ARP, он требует поддержки MacSec и SecureID, а это, к сожалению, подразумевает новое железо/PHY для обоих типов интерфейсов. Либо CGA-основанную замену SEND для ARP и NDP, но индустрия выбрала первый вариант (фактически все производители контроллеров). Что касается VLAN — даже с RADIUS они уязвимы в стандартном состоянии. http://resources.infosecinstitute.com/vlan-hacking/ (не самое полное руководство/выводы, но очень кратко и ясно, наверное).

lorsungcu Guest	#3 0 18.04.2014 19:57:00 Да, VLAN через аутентификацию RADIUS было бы очень-очень здорово.

robertpenz

Guest

19.04.2014 17:26:00

Zorro: Похоже, вы неправильно поняли мою просьбу по функции. Если использовать DHCP-сервер на Mikrotik, то можно добавить MAC-адрес клиента, который получил аренду, в ARP-таблицу роутера. Если теперь отключить обучение ARP, только клиенты с DHCP смогут общаться через роутер, и ARP-спуфинг становится намного сложнее — именно то, что нужно в корпоративной клиентской сети. Особенность Mikrotik в том, что это работает даже если Mikrotik использует DHCP Relay. Мы уже много лет так делаем на наших коммутаторах Extreme Network. Еще одна функция безопасности ARP называется Gratuitous ARP. Если роутер видит ARP-ответ с его IP-адресом в сети, он рассылает Gratuitous ARP, чтобы клиенты, которые принимают Gratuitous ARP, не использовали данные атакующего.

k5nic

Guest

20.04.2014 21:51:00

Дополнительное пожелание для повышения безопасности — добавить поддержку TACACS! RADIUS уже устарел, гораздо менее безопасен и серьёзно не хватает функций логирования на стороне администрирования роутеров! Если этого не сделают, мне придётся серьёзно задуматься о замене нескольких десятков MikroTik RB на продукт, который будет надёжнее в этом плане. Я собираюсь обновлять свою сеть и без проблем могу перейти на другой бренд, ведь всё равно собираюсь менять всё, чтобы повысить производительность! Угрожать не хочу, просто говорю как есть — сменить бренд для меня не проблема. Jay

robertpenz

Guest

21.04.2014 09:45:00

Что общего у TACACS (Terminal Access Controller Access-Control System) с аутентификацией сетевых устройств? Насколько я знаю, TACACS используется только для аутентификации пользователей, которые хотят получить доступ к маршрутизатору (то есть админов)... это никак не связано с сетевой безопасностью, или я ошибаюсь?

robertpenz

Guest

04.05.2014 19:48:00

Для аутентификации пользователей при входе через ssh на маршрутизатор или что-то в этом роде вы правы. Но для аутентификации устройств при подключении к сети через 802.1x единственным вариантом является RADIUS. Шифрование данных там не так важно, поскольку для аутентификации в основном используется EAP-TLS (если безопасность имеет значение), который устанавливает защищённое TLS-соединение.

cchance Guest	#8 0 10.02.2015 13:17:00 Как это до сих пор не доступно?!!?!?!?!?!

bronx Guest	#9 0 13.02.2015 19:29:00 Плюс один, очень классно.

k5nic Guest	#10 0 04.05.2014 18:54:00 По моим исследованиям, TACACS и RADIUS делают практически одно и то же. Просто TACACS делает это лучше и безопаснее. К тому же TACACS добавляет дополнительные логи, которых нет в RADIUS, что полезно для более тщательного аудита. RADIUS использует UDP, а TACACS — TCP. RADIUS не шифрует всю сессию, а TACACS шифрует. Джей

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры