Mikrotik desde Cero

Sesión 3
Por: Howard Smith VP
Lima, Perú. Febrero 2018.
Firewal capa3
12.5 Escenario Real Mitigando ataques al Mikrotik

Tomar en Cuenta:
La red LAN (ether2) no esta haciendo uso de internet pero vemos que por la
interface wan existe tráfico de internet, eso quiere decir que por la wan
estamos recibiendo ataques o consultas a nuestro Router.
Firewall capa3
12.3.1 INPUT

/ip firewall filter

add chain=input comment="Firewall WAN" dst-port=8291 in-
interface=ether1 protocol=tcp
add chain=input connection-state=established in-interface=ether1
add chain=input connection-state=related in-interface=ether1
add action=drop chain=input in-interface=ether1

Tomar en Cuenta:
Para este laboratorio usaremos las cadenas INPUT (porque es tráfico que
va hacia el router ). Asimismo, las acciones . Aceptar y Drop
Layer7

Expresiones Regulares

add name=facebook regexp="^.*(facebook).*\$"

add name=youtube regexp="^.*(youtube).*\$“
add name=ViaBCP regexp="^.*(viabcp.com).*\$"

Tomar en Cuenta:
expresión regular ,es una secuencia de caracteres que forma un patrón de
búsqueda, principalmente utilizada para la búsqueda de patrones de
cadenas de caracteres u operaciones de sustituciones.
Layer7
Bloqueo de Facebook
1) 2)

3)

Tomar en Cuenta:
Se puede clasificar por interface (in.interface) o también por address list
Layer7
Bloqueo de Facebook por Horas

Sat =Sabado Fri =Viernes Su =Domingo

Tomar en Cuenta:
La opción de TIME se puede aplicar a cualquier regla de firewall.
Layer7
Bloqueo de youtube por Horas

Sat =Sabado Fri =Viernes Su =Domingo

Tomar en Cuenta:
La opción de TIME se puede aplicar a cualquier regla de firewall.
Lista de Direcciones
Address-List

Tomar en Cuenta:
En address list se puede crear una nueva lista con cualquier nombre,
ip,red,rango de direcciones.
13) Configurando
el Ingreso de
Internet
Configurando el Ingreso de Internet (WAN)
13.1 Dhcp Cliente en el Mikrotik

Tomar en Cuenta:
El Dhcp cliente se crea en la interface donde está conectado el router modem.
Configurando el Ingreso de Internet (WAN)
13.2 Wan con Modem Adsl en Bridge

Modo Bridge

Ether2
Modo Bridge

Modo Bridge
Configurando el Ingreso de Internet (WAN)
13.2 Configuración en el Modem Adsl

EN EL MODEM ADSL

Tomar en Cuenta:
Al seleccionar en Bridge este router solo funciona como MODEM ya no
tiene la capacidad de enrutar paquetes .
Configurando el Ingreso de Internet (WAN)
13.2.1 PPPoE Cliente en el Mikrotik

Tomar en Cuenta:
El pppoe Cliente se crea en la interface donde está conectado la línea del
modem adsl.
Configurando el Ingreso de Internet (WAN)
13.3 Wan con Router Cisco de Servicio de Fibra
Configurando el Ingreso de Internet (WAN)
13.3.1 Revisión de Documentación del Proveedor
Configurando el Ingreso de Internet (WAN)
13.3.2 IP de Red, Broadcast y IPs Validas (Pool de Públicas /29)
Configurando el Ingreso de Internet (WAN)
13.3.3 Direccionamiento estático

Tomar en Cuenta:
Cualquiera de las ips disponibles que se mostró en el documento, puede
Ser asignado en está opción.
14. Configurando
Acceso Remoto a
Router Mikrotik
Configurando el Ingreso de Internet (WAN)
14.2 Acceso Remoto Via Ip Pública Dinámica (Modem Bridge ADSL)

Tomar en Cuenta:
Desde Internet solo tienes que digitar la ip pública en el winbox y ya tienes
Acceso al router mikrotik.
Configurando el Ingreso de Internet (WAN)
14.4 Acceso Remoto con IP CLOUD de Mikrotik

Modo Bridge Modo Bridge

Tomar en Cuenta:
Al activar el ip cloud , puedes ingresar desde internet a tu mikrotik.
Es necesario tener ip pública estática o Dinámica .
16) Monitoreo
de la red
Monitoreo de la red
16.1 Escaneo de toda la red por interfaces

Olfateo de paquetes, hosts, conexiones y protocolos

Tomar en Cuenta:
Con la herramienta torch podemos olfatear los paquetes que están
pasando por la interface.
Monitoreo de la red
16.3 Rastreo de conexiones con Torch

Tomar en Cuenta:
Aquí podemos ver direcciones ips de destino y el puerto. Basándonos a
esa información podemos hacer un rastreo y seguimiento a esa ip.
Monitoreo de la red
16.3 Rastreo de conexiones con Torch

https://who.is/
bgp.he.net/

Tomar en Cuenta:
Aquí podemos ver direcciones ips de destino y el puerto. Basándonos a
esa información podemos hacer un rastreo y seguimiento a esa ip.
Monitoreo de la red
16.5 Revisión del log del sistema.

Tomar en Cuenta:
En el log muestra todos los sucesos , alertas que el mikrotik puede tener.
Ejemplo: En la imagen muestra que hay 4 intentos fallidos de logueo .
 Gracias…
Howard Smith V P
Correo: soporte@compupalperu.com
web: compupalperu.com
Cel: 99415 4792
Facebook: Howard Smith Palacios