2022年10月18日星期二

reload

沒想到重新登入是20221018

FB似乎有對中國友好的審查機制，10.17 點讚杜奕謹，關於習中中的文章，以及裡面的留言，就被資格審查。要上傳證件

FB似乎進化到ai 自動區分同溫層，讓同溫層的人互相容易看得見，以及rank 相對同屬性化，其他不容易找到。然而只要批評中國，或是對中國不友好，而發信ip 在臺灣，會相對"做出很多狀況"

用ai消耗臺灣人的時間，讓生產降低? 因為時間是固定的

2021年9月8日星期三

comfst cf-wu785ac ˇ使用分享

中國製造，核心是螃蟹卡。5g的部份似乎是一根天線，所以流量多會掉ping ，造成連線不穩定。

ｕｓｂ　插入會自己多一個硬碟自己auto 安裝，但升級之後就無法再重新出現硬碟auto安裝

似乎是升級後的問題? 造成5g 不穩定，或是強度太強，造成5g的部份連線不穩定，而 2.4g不會有此問題。

使用usb-ac68 沒有此問題產生

2021年9月6日星期一

smartdns 經驗分享

1. 要找smartdns 會在後端分vpn 走各國國家

smartDNS 不錯，但後來的DNS 會 ping 不到，變成無法使用，smartdns 的ip拒絕我方ip連線。

但支援ddns .

vpnsecure

支持DDNS OpenVPN

支持pandora.com

但smartdns沒有設定在亞洲，而且支持的 show supported 比較少＞

surfshark。dns只有一組，而且不支持abema.tv and pandora.com.

CyberGhost 非常好的smartdns 而且支持地理位置gps 對於有檢查gps的網站會更相對於當地的地理。可以說是目前最好的，比vpn更好，vpn 通常不支持gps定位，只有流量從vpn 當地ip發出，但因為太好了，對於臺灣有些網站就不能用，尤其是設定日本，就不能看hami video.，商用的部份，銀行金融會無法使用，會認為你真的在日本。

可以說會變成完全日本使用的狀況，太好反而不能用.

以上，主要分享smartDNS

2021年4月10日星期六

routeros 設定

我昨天改用這命令列對icmp封鎖實測,證實本機ping的出去,但外部ping不進來.
/ip firewall filter
add action=drop chain=input dst-address-type=local protocol=icmp

再測試透過VPN Client電腦可否ping的到本機IP..
結果不行,連VPN Client的ping全都擋掉!

遭到 11.22.33.44 的 IP 通過 syn 的 DDoS 攻擊，可以拒絕對該 IP 做連接追蹤，減少 CPU 負載 :

/ip firewall raw

add chain=prerouting src-address=11.22.33.44 action=notrack

另一種情況，如較大的網路環境，涉及內網和外網請求，在訪問外網時需要做 nat 轉換，而內網則不需要，

因此流量和對話增加的情況下，避免 CPU 負載過高，可以透過 Raw 關閉掉訪問內網的連接追蹤。

例如，在一個大型網絡，內網IP地址段是192.168.0.0/16，關閉掉內網的連接跟蹤，配置如下：

/ip firewall raw

add chain=prerouting dst-address=192.168.0.0/16 action=notrack

配置後，在 connection-tracking 列表將不會看到內網訪問 192.168.0.0/16 的連接訊息

其他 RAW policy:

/ip firewall raw

add action=drop chain=prerouting comment="Port scanners" protocol=tcp psd=21,3s,3,1

add action=drop chain=prerouting comment="Drop oversized unfragmented packets" packet-size=1492-65535 protocol=icmp

add action=drop chain=prerouting comment="SYN-FIN attack protection" protocol=tcp tcp-flags=fin,syn

add action=drop chain=prerouting comment="SYN-RST attack protection" protocol=tcp tcp-flags=syn,rst

add action=drop chain=prerouting comment="X-Mas attack protection" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack

add action=drop chain=prerouting comment="NMAP FIN attack protection" protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg

add action=drop chain=prerouting comment="NMAP Push attack protection" protocol=tcp tcp-flags=fin,syn,rst,ack,urg,!psh

add action=drop chain=prerouting comment="NMAP FIN/PSH/URG attack protection" protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack

add action=drop chain=prerouting comment="NULLflags attack protection" protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg

add action=drop chain=prerouting comment="ALLflags attack protection" protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg

add action=drop chain=prerouting comment="Drop udp DNS queries from WAN" dst-port=53 in-interface="WAN" protocol=udp

add action=drop chain=prerouting comment="Drop tcp DNS queries from WAN" dst-port=53 in-interface="WAN" protocol=tcp

设置Fasttrack 使来自路由器的所有DNS流量绕过队列:

2021年4月7日星期三

adguard home 上游 DNS

tls://dns-unfiltered.adguard.com

tls://dns.adguard.com

tls://adult-filter-dns.cleanbrowsing.org

tls://dns.east.comss.one

https://private.canadianshield.cira.ca/dns-query

https://doh-jp.blahdns.com/dns-query

tls://jp.tiar.app

tls://dns.oszx.co

tls://dot.tiar.app

tls://185.222.222.222

2021年3月23日星期二

防止別人掃描你的routeros

/ip firewall filter add chain=input protocol=tcp psd=21,3s,3,1 action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="Port scanners to list " disabled=no

/ip firewall filter add chain=input protocol=tcp tcp-flags=fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="NMAP FIN Stealth scan"

/ip firewall filter add chain=input protocol=tcp tcp-flags=fin,syn action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="SYN/FIN scan"

/ip firewall filter add chain=input protocol=tcp tcp-flags=syn,rst action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="SYN/RST scan"

/ip firewall filter add chain=input protocol=tcp tcp-flags=fin,psh,urg,!syn,!rst,!ack action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="FIN/PSH/URG scan"

/ip firewall filter add chain=input protocol=tcp tcp-flags=fin,syn,rst,psh,ack,urg action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="ALL/ALL scan"

/ip firewall filter add chain=input protocol=tcp tcp-flags=!fin,!syn,!rst,!psh,!ack,!urg action=add-src-to-address-list address-list="port scanners" address-list-timeout=14d comment="NMAP NULL scan"

/ip firewall filter add chain=input src-address-list="port scanners" action=drop comment="dropping port scanners" disabled=no

==========================

MikroTik RouterOS RAW 設定

RouterOS 從 6.36 版後多了一個 RAW 功能，上網收集資料了解了解,順便整理起來。

(上圖是依網友的流程圖模仿重畫的)

firewall Raw 列表允許選擇性在 connection tracking 之前繞過或者丟棄封包，這樣能大大的降低 CPU 負載。

該功能非常有助於防御 DOS 攻擊，RAW 列表不能匹配連接狀態的追蹤，例如 connection-state 和 L7 協議。

Raw Policy 出現在 Prerouting chin 和 output chin，並在 connection-tracking 前執行。

Raw 目的是對指定的 IP 訪問可以不經過連接追蹤（connection-tracking），有助於減少 CPU 負載，

但對於私有網路做 NAT 轉換，connection-tracking 是必須的，Raw 又如何在實際網路應用中發揮作用。

例如遭到 DDoS 攻擊，可以通過 Raw 規則關閉掉攻擊來源 IP 的連接追蹤，不建立本地連接會話，不予回應，降低 CPU 負載。

在 Raw 中有兩個連表，分別是 prerouting 和 output:

prerouting 用於處理任何進入路由器的封包

output 用於處理封包來自於路由器，並通過其中一個接口離開，即由路由器自身發出的封包

例如: