Mikrotik-Training

Например спалился один раз на подборе SSH к одному сервису - далее в бан на любые другие сервисы: рдп, почта, астериск

У вас рдп наружу торчит? И повторю вопрос. Что мешает просто дропать?

И такое иногда тоже есть, все зависит от тз заказчика. А учитывая что впн у нас даже в пределах страны иногда чудит - иногда приходится такие вещи держать открытыми. Просто дропать - что вы под этим подразумеваете? Дроп за подбор пароля на какое-то время? Так он снова будет подбирать как только таймаут сбросится

Не надо придумывать оправдания. Просто дропать означает что порт ssh должен быть закрыт по умолчанию для всех кроме максимум - белого списка внешнего ip админа или впн-сети

Я вроде не писал что у меня открыт ssh/winbox?

Я же написал что "например". SSH не открыт, но если ip адрес замечен в попытке подключиться по SSH то оттуда будет однозначно скан портов или подбор паролей по любым другим портам. А зачем мне ждать когда кто-то нащупает открытый порт и найдет какую-то учетку которую завели уже за моей зоной ответственности?

Зачем вообще оставлять открытые порты? Снаружи все должно быть закрыто априори. Максимум, как уже выше писали, открывать по белым спискам, ну или придумайте какой-нибудь порткнокинг.

Например чтобы дать доступ к видеорегистрату для просмотра его с мобильных сетей?

VPN? Или проблема с тем, что блокируют?

Который не всегда работает в РФ? да, уже держу wg, icsec и open, но бывает директору трудно найти какой из них сейчас работает чтобы камеры глянуть

Ну тогда мы ведь знаем из каких сетей обычно выходит этот самый директор? В чём проблема просто для конкретных CIDR открыть порт?

Ты делаешь херню. Паблик тебе об этом говорит. Паблик плохой. Штош. https://t.me/miktrain/648883

Будешь продолжать в том же духе, будешь только читать ПРАВИЛЬНЫЕ и ПОЛЕЗНЫЕ мнения в этом чатике относительно той чуши, что ты творишь. А писать не сможешь. Совсем

Я использую белые списки доступа, icmp-кнокинг (из "батников"), и нестандартные порты в комплексе с автобаном - в блок-листы временно закидываю (на сутки-трое), этого достаточно, чтобы отвадить бота и в то же время не допускать разрастания блок-листов.

Нестандартные порты смысла не имеют. А еще современные ботнеты учатся подбирать даже сложные схемы тайматов, чтоб выпадать из списка неудачных попыток до бана.

Я лишь хотел указать что 20к+ адресов это не проблема даже для hex s, не говоря уже об 5009

Кнокинг вообще незаслуженно недооценен (или вообще считается нубским инструментом). Отличный способ одновременно закрыть порты от широкой массы и при этом оставить себе лазейку из любой точки.