NSM5 PBM5 NBM5

[X-Lod]

Ситуация следующая. Несколько точек доступа, по 3-4 клиентских М5 на каждой. Ночью рухнула. Ни одна из точек не пускает (локально) ни по старому ip, ни по 192.168.1.20. Не пингуются, на ресет не реагируют, lan горит. Все на 5.6.9ct с этого форума. Вышеперечисленное и о базовых и о клиентских. Некоторые клиентские на расстоянии до 4км. Идеи?

 

P.S. Странным образом сбросился и роутер (RT-N56u), к которому были подключены точки доступа.

Edited January 4, 2017 by X-Lod

[rdc]

как вариант - злодей снял галку ресета.

оживляйте через восстановление прошивки

[X-Lod]

Оживил одну из. Интересна причина.

Edited January 4, 2017 by X-Lod

[rdc]

больше всего похоже на вандализм

 

мог пароль утечь?

[X-Lod]

Нет.

[Ferdin]

Ситуация следующая. Несколько точек доступа, по 3-4 клиентских М5 на каждой. Ночью рухнула.

А ночью был (снег+град+гроза), вот и причина.

[X-Lod]

Факт. Однако, подчеркиваю, удаленность точек от 500м до 4км. Да и сеть далеко не одна. Смущает то, что и база и клиентские попадали. Без возможности ресета.

[belokuriha]

Ломанул может кто

[X-Lod]

Да каким образом?

[SSD]

Да каким образом?

Как вариант через уязвимости в софте. Под данную версию есть эксплоит, и для более новых тоже.

[X-Lod]

Как избежать?

[SSD]

Как избежать?

Демонтировать и положить на полку, так точно не взломают.

[rdc]

Как избежать?

Сделать влан управления, унести всё железо туда.

Ни от абонентов, ни из интернета ни одно устройство в сети напрямую не должно быть доступно.

[X-Lod]

Да, придётся всё усложнять. Сегодня ситуация повторилась, рухнули все точки и роутер (уже другой) в дефолте.

[belokuriha]

Закрывайте доступ в вашу сеть из вне, отключите ссш и телнет на точках.

[X-Lod]

Они отключены. Осталось понять как закрыть извне.

[rdc]

Дать всем устройствам серые адреса.

Ни в коем случае не использовать устройства в качестве роутеров - только мосты.

Абонентов и управление разнести по вланам.

[SSD]

Они отключены. Осталось понять как закрыть извне.

Выше же написали. Все устройства убрать в managment vlan.

[X-Lod]

Разумеется, только вот ни разу не пробовал, надо читать.

[Saab95]

Можно просто на центральном роутере заблокировать доступ на соответствующие порты устройств из интернета, и они вполне могут себе продолжать работать роутерами. И никакие вланы управления не нужны.

[X-Lod]

У меня прозрачные бриджи, роутерами не работали.

[SSD]

У меня прозрачные бриджи, роутерами не работали.

Саб в очередной раз сморозил глупость, запрет портов ситуацию кардинально не изменит. Уберите управление точками в отдельный vlan, это решит большинство вопросов безопасности устройств.

[Saab95]

У меня прозрачные бриджи, роутерами не работали.

Саб в очередной раз сморозил глупость, запрет портов ситуацию кардинально не изменит. Уберите управление точками в отдельный vlan, это решит большинство вопросов безопасности устройств.

 

Обычно морозят глупость при создании сети, а потом ищут как решить проблемы.

 

Если CPE работают прозрачными бриджами, то им выдана некая адресация и все. Далее в этом же канале идет трафик абонентов, если он тоже по IP то им выдаются какие-то другие адреса, и просто так абоненты напрямую попасть на устройства не могут, если только руками себе нужную подсеть с адресом не поставят. В этом случае в сеть обычно никто попасть кроме администратора не может и никакие порты на оборудовании закрывать не надо. Кроме всего, если заблокировать трафик между клиентами радио, а так же трафик с БС упаковать во влан, то в случае взлома одного клиентского устройства, с него не получиться атаковать клиентов этого же сектора и саму БС, а в ядре сети, куда данные сходятся, обычно оборудование другое установлено и никаких проблем не возникает.

[SSD]

Обычно морозят глупость при создании сети, а потом ищут как решить проблемы.

 

Если CPE работают прозрачными бриджами, то им выдана некая адресация и все. Далее в этом же канале идет трафик абонентов, если он тоже по IP то им выдаются какие-то другие адреса, и просто так абоненты напрямую попасть на устройства не могут, если только руками себе нужную подсеть с адресом не поставят. В этом случае в сеть обычно никто попасть кроме администратора не может и никакие порты на оборудовании закрывать не надо. Кроме всего, если заблокировать трафик между клиентами радио, а так же трафик с БС упаковать во влан, то в случае взлома одного клиентского устройства, с него не получиться атаковать клиентов этого же сектора и саму БС, а в ядре сети, куда данные сходятся, обычно оборудование другое установлено и никаких проблем не возникает.

Ты чет начал про Фому, а закончил про Ерему.

[X-Lod]

Вопрос первый - при таком раскладе с любого клиентского всё равно открываются все точки. Client isolation включен, клиентские Station переведены в Router (с включенным NAT'ом). Почему? Стоит ли убрать Default Gateway?

Вопрос второй - помогает ли чем-либо Secure Connection (enable)?

 

 

AP

 

 

Station

 

Edited January 30, 2017 by X-Lod