Cactus провайдер

Cвязистов сегодня собрали на совещание в связи с уязвимостями в оборудовании Микротик, в ходе возник вопрос о том, а как проверить на уязвимости тысячи устройств клиентов. Я предложил использовать LDP и CDP протоколы в которых микротики активно показывают свою версию ПО. Но у коллег была сеть VLAN на клиента и к каждому не заглянешь с таким протоколом. В итоге сейчас сел, подумал и родилось изящное решение в рамках закона. 🛠 Шаг 1. Быстрый тест в ручном режиме Для начала подготовим окружение и проверим один тестовый роутер. Ставим сканер Nmap:

apt install nmap

Скачиваем специализированный NSE-скрипт: wget https://svn.nmap.org/nmap/scripts/mikrotik-routeros-version.nse Запускаем точечную проверку тестового роутера:

nmap -p 8291 --script mikrotik-routeros-version 172.16.16.19

Что мы получаем в выводе?

PORT     STATE SERVICE
8291/tcp open  winbox
| mikrotik-routeros-version:
|   list:
| wave2.jg    7.20.5
| secure.jg   7.20.5
|_roteros.jg  7.20.5
Service Info: OS: RouterOS 7.20.5; CPE: cpe:/o:mikrotik:routeros:7.20.5

Скрипт напрямую обращается к WinBox и вытаскивает точную версию OS (в данном примере 7.20.5) и список всех активных пакетов. 🚀 Шаг 2. Масштабируем на всю сеть (Автоматизация) Чтобы не сканировать каждый IP руками, заворачиваем процесс в быстрый Bash-скрипт cactus_micro_scan. Он умеет работать на больших скоростях, не зависает на "мертвых" хостах благодаря таймаутам и показывает индикатор прогресса. Создаем файл subnets.txt и закидываем туда списки нужных подсетей (каждая с новой строки):

172.16.16.0/24
192.168.1.0/24

Запускаем наш инструмент (предварительно дав ему права на запуск через chmod +x):

./cactus_micro_scan

Как это выглядит в консоли:

[DEBUG] Загружено целей для сканирования: 2
[+] Начинаем ускоренное сканирование...
[1/2] Проверяем: 172.16.16.0/24 ... [/] Готово
[2/2] Проверяем: 192.168.1.0/24 ... [-] 
[!] Обнаружен уязвимый хост: 192.168.1.55 (7.20.5)
Готово

📋 Результат На выходе скрипт генерирует чистый текстовый отчет в файле vulnerable_mikrotiks.txt, куда заносит только те IP-адреса, на которых крутятся потенциально опасные и устаревшие версии RouterOS. Скрипт добавил к сообщению, добавьте ему права на выполнение.

С Днём рождения, Новое Девяткино! 🎁 Дарим домашний кинотеатр нашим абонентам! Друзья, сегодня наш общий праздник. Именно в Новом Девяткино 25 лет назад начиналась история нашей сети. В то время в посёлке вообще не было Интернета. Я обзвонил всех крупных провайдеров, везде получил отказы и решил: «А сделаем всё сами!». Спасибо, что все эти годы вы остаётесь с нами. В честь юбилея мы приготовили для вас крутой подарок — бесплатный доступ к новому медиасерверу с тысячами фильмов и сериалов в отличном качестве! 🎬 Как запустить кино у себя дома: • На компьютере или смартфоне: просто перейдите по ссылке и зарегистрируйтесь за 1 минуту ➔ https://kinoplus.net/jfa/invite/eFTxjzvfrwdAf8JkhDCbXa • На телевизоре (Smart TV, Android TV, Яндекс.СтанцияТВ или даже Xbox): скачайте бесплатное приложение Jellyfin ➔ jellyfin.org и войдите под своими данными после регистрации, указав адрес сервера https://kinoplus.net ⚠️ Обратите внимание: Доступ работает внутри нашей домашней сети. Используются мощные европейские серверы, и сейчас завершается отладка нового софта. и железа. Количество приглашений ограничено! Успейте зарегистрироваться и занять своё место, пока идёт закрытое тестирование. Приятного просмотра, отличных выходных и с праздником! 🎆

⚡️ Уважаемые жулики! Рубрика «Занимательная физика» Доводим до вашего сведения: воровать нулевой проводник (ноль) в жилом доме — гораздо опаснее для жизни, чем срезать обычный фазный кабель. Стоит вам перерезать ноль, как этот кусок провода мгновенно превращается в ловушку с высоким напряжением. В голове среднестатистического прохиндея это обычно не укладывается, поэтому объясняем на пальцах. Любой домашний чайник — это просто кусок хитрой термостойкой проволоки. И если в момент кражи тётя Маша решит попить чайку, она сама того не ведая устроит вам засаду. Её чайник напрямую соединит отрезанный вами ноль с её фазой. Но это полбеды. В это же время в соседнем подъезде дядя Саша решит пожарить колбасу на электроплите. А у Маши и Саши фазы, как водится, разные. Без общего нуля в общедомовую сеть мгновенно ворвутся 380 Вольт вместо привычных 220! И ладно бы этот мощный разряд достался только вам — мы бы погоревали и забыли. Но эти 380 Вольт пойдут гулять по розеткам всего дома. У тёти Наташи сгорит холодильник, у соседа Игоря — дорогой компьютер, а у нас, провайдера «Кактус» — коммутаторы. 🛑 Дорогой жулик! Если после этого вас найдут разгневанные жильцы, поверьте: удар током покажется вам самым мягким и приятным финалом этого вечера. Подумайте об этом. Не надо воровать кабель, если вы так их любите, лучше идите их прокладывать, монтажники отлично зарабатывают и спят с чистой совестью. 💡 Важная информация для абонентов и жильцов: Если у вас дома внезапно начали неестественно ярко гореть или моргать лампочки, зашумел холодильник или задымился телевизор — немедленно полностью обесточьте квартиру через входной щиток (автоматы)! Скорее всего, в доме произошло «отгорание нуля». После этого сразу вызывайте аварийную службу вашей управляющей компании. Гарантированно именно эту проблему решает реле напряжения на входе в квартиру. По мотивам вчерашних событий в Мурино.

Центральная серверная без света в доме ведутся работы, ждем когда вернется. Из-за того, что кабельная ТВ сеть - это дерево с корнем в этой серверной оно пока лежит. IPTV и Интернет работают, не замечая проблему.

По направлению на Piter-IX с утра сработал алерт - обнаружена закольцовка, и коммутатор автоматически погасил порт избегая возможных больших неприятностей. Вечером подтормаживает инет, и не понимаем а что такое, ощущение не хватает внешней полосы, и точно! Исправили в 21-15. Подправили мониторинг на случай такой неожиданности.

Потихоньку копаем, достраиваем канализацию, чтобы сопли проводов связи не висели над головами, хорошо когда с застройщиком находятся общие интересы и такие вещи делаются вовремя.

🍿 Из нашей сети есть доступ к легендарному шведскому серверу — https://sosis.co. И прямо сейчас он переезжает на современную платформу! Главная задача — обеспечить стриминг контента в самом доступном формате. На сегодня золотой стандарт — это контейнер MP4, кодек H.264, звук AAC. И никакого лишнего мусора внутри: удаляем встроенные картинки, тяжелые метаданные, шрифты и хитрые субтитры, которые вешают плееры. 📐 Масштаб задачи огромный: нужно проинспектировать и перекодировать десятки терабайт видео. В ход пошел мощный комбайн Tdarr. Он собирает распределенную сеть из отдельных серверов-нод с десятками ядер CPU и видеокартами NVIDIA. Готового плагина под наши задачи не нашлось — вся индустрия сейчас помешана на HEVC (H.265). Пришлось написать плагин, ведь у старых телевизоров от рассказов про крутизну новых кодеков аппаратный декодер сам не вырастет. 💡 Из необычного, что всплыло в ходе работ: Если взять старый файл (например, в DivX) и перекодировать его в H.264 или H.265, то итоговый размер файла... может стать больше исходника! Знаете почему? В старых «ламповых» фильмах алгоритмы сжатия были несовершенными. Из-за этого видео забито микро-артефактами и шумами, незаметными для глаза. А современный умный кодек честно пытается сохранить каждую эту детальку, что в итоге раздувает битрейт и размер. Кстати, пока тестировали сеть, с удовольствием пересмотрел фильм «Майкл» (тот самый, где Траволта играет неидеального ангела) в старом формате и с той самой культовой озвучкой из 90-х. Есть в этом кино что-то невероятно человеческое. В общем, работа кипит. Ждите анонсов и готовьте попкорн! 🎬

🚀 Безопасность MikroTik: почему нас не пугают «шокирующие истории» об уязвимостях Мы используем MikroTik. Это недорогое и заточенное под специфические задачи оборудование. Например, MikroTik CCR2004-1G-12S+2XS отлично справляется с тем, чтобы по 10G подключить несколько многоквартирных домов к сети и отправить их данные в центр на 25G. И вот почему громкие новости о взломах нас скорее всего не заденут — дело в правильной архитектуре и настройках. 🛡 Наш главный принцип Зная о проблемах с безопасностью, которые рано или поздно касаются любого ПО, мы изначально строим сеть правильно: 1. Минимум белых IP: Мы стараемся не вешать на само оборудование реальные IP-адреса, если это возможно. 2. Изоляция: Сегмент управления (Management) полностью закрыт от доступа со стороны пользователей и Интернета. Именно поэтому мы так легко делимся скриншотами и фото с внутренними IP-адресами устройств. ⚙️ Базовый конфиг файрвола на MikroTik При начальной настройке мы жестко ограничиваем доступ к самому роутеру. Шаг 1. Создаем список доверенных адресов (Address List) Создаем лист с именем man, где перечислены IP-адреса и подсети, откуда админам разрешен доступ. Выполняем в консоли для каждой админской подсети: /ip firewall address-list add address=1.2.3.0/24 list=man Шаг 2. Защищаем сам роутер (Цепочка INPUT) Важно: все правила ниже действуют только на запросы к самому устройству и не трогают транзитный трафик пользователей. 1️⃣ Разрешаем уже установленные соединения (чтобы роутер мог сам скачивать обновления, синхронизировать время и отвечать на ваши запросы): /ip firewall filter add action=accept chain=input connection-state=established,related 2️⃣ Блокируем сомнительные коннекты (например, полуоткрытые или ошибочные пакеты): /ip firewall filter add action=drop chain=input connection-state=invalid 3️⃣ Разрешаем доступ админам из списка man: /ip firewall filter add action=accept chain=input src-address-list=man 4️⃣ Разрешаем пинговать роутер (полезно для мониторинга): /ip firewall filter add action=accept chain=input protocol=icmp icmp-options=8:0 5️⃣ Разрешаем некоторые варианты traceroute (например с Linux/macOS): /ip firewall filter add action=reject chain=input protocol=udp dst-port=33434-33523 reject-with=icmp-port-unreachable Шаг 3. Финальная блокировка (ВНИМАНИЕ!) Прежде чем вводить запрещающее правило, убедитесь, что в первых правилах в Winbox (IP -> Firewall) побежали счетчики пакетов (статистика). Если все ок, включаем тестовый режим через LOG: /ip firewall filter add action=log chain=input log-prefix="DROP_INPUT: " Смотрим в логи. Если там нет ваших админских пакетов — все настроено верно. Теперь можно смело менять в Winbox действие с log на drop. Либо сразу ввести финальную команду (если уверены в себе): /ip firewall filter add action=drop chain=input С этого момента подключиться к любым сервисам MikroTik (Winbox, SSH, Web) смогут только те, кто находится в списке man. ⚠️ Важное примечание: Если этот роутер общается с другими устройствами по протоколам OSPF, BGP, VRRP или работает как VPN-сервер, эти протоколы нужно отдельно разрешить в файрволе (выше запрещающего правила). Ну, или просто добавьте IP-адреса соседних роутеров в ваш список man, если и соседние устройства полностью внутри защищенного периметра. 🔥 Очень важный нюанс про Winbox! Роутер обрабатывает правила файрвола строго сверху вниз до первого срабатывания. Любое новое созданное правило автоматически падает в самый конец списка. Поэтому, если вы добавите новое разрешающее правило после нашего финального DROP, оно просто не будет работать. А перетаскивать нужные правила можно мышкой, тем самым меняя их порядок!

⚫️ Чёрный день для MikroTik: Срочно закрывайте порты или обновляйтесь! Опубликовна пачка критических уязвимостей в RouterOS, которые буквально ломают привычные механизмы защиты. Если ваш роутер смотрит «наружу» админскими портами, его могут взломать без знания паролей. Собрали главное, что нужно знать прямо сейчас: ❌ Вход по SSH без приватного ключа (CVE-2026-67276) В системе проверки RSA-ключей нашли детскую ошибку: роутер забывал проверять экспоненту ключа. Злоумышленник, зная публичный ключ админа, может подделать цифровую подпись и войти в консоль. ❌ Выполнение команд в SSH до авторизации (CVE-2026-67279) При запросе смены ключей (rekey) RouterOS впускает клиента в рабочий протокол еще до ввода логина и пароля. Это позволяет неавторизованному хакеру удаленно создавать и перезаписывать системные файлы. ❌ Кража паролей через WebFig (CVE-2026-67281) Уязвимость класса Unauthenticated File Read. Из-за ошибки работы с памятью в веб-интерфейсе можно выйти за пределы папки WebFig и скачать файлы конфигурации роутера с хэшами паролей. ❌ Кража данных из памяти и DoS (CVE-2026-67277) Тест скорости (Bandwidth Test) принимает соединения до авторизации. Через него можно заставить роутер сливать куски данных из оперативной памяти ядра или намертво отправить устройство в перезагрузку. ❌ Повышение прав через логин (CVE-2026-86060) Спецсимвол в начале имени пользователя при входе через SSH ломает маску прав и дает злоумышленнику права суперадмина. 🔥 ЧТО ДЕЛАТЬ ПРЯМО СЕЙЧАС? Все уязвимости были закрыты в одном пакете обновлений. 1️⃣ Обновитесь до безопасных версий: 6.49.21 (Long-term) 7.23.4 (Long-term) 7.24.2 (Stable) Или любые версии новее этих. 2️⃣ Если нет возможности обновиться сегодня: Идите в IP -> Services и выключите порты SSH (22) и WWW / WWW-SSL (80/443), либо жестко ограничьте их в поле Available From только вашими доверенными IP-адресами. Зайдите в Tools -> BTest Server и отключите сервер тестирования скорости. 3️⃣ После обновления: Рекомендуется сменить пароли администраторов и перевыпустить SSH-ключи, так как старые конфигурационные файлы могли быть скомпрометированы.

У нас в серверной есть напильник, молоток и гаечные ключи. И иногда все это нужно. А вот сегодня брал с собой в дата центр Ростелекома сделанный отцом аккумуляторный паяльник, он у меня инженер-электронщик, и даже на пенсии, продолжает увлекается любимым делом. C цифровым шлюзом SMG-1016 от Элтекс, если хочешь подключить E1, надо подходить творчески, отцу спасибо и паять научил в детстве:) Интерфейс E1 — это проверенный временем стандарт связи, который заменяет 30 обычных телефонных проводов одним кабелем, гарантируя железную надежность и идеальное качество звука. Разъем от старого кабеля принтера утащил :)

Новые правила для сайтов с 1 сентября! Вступили в силу жесткие законы (ФЗ № 569-ФЗ, Постановления № 1024 и № 884). Государство взяло под контроль интернет-ресурсы компаний. 🚫 ЧТО СТАЛО НЕЛЬЗЯ: Домен на физлицо. Оформлять домены компаний (в зонах .ru, .рф) на сотрудников или директора. Только на ЮЛ. Сервер дома или в обычном офисе. Запускать сайты организаций на своем ПК «под столом» на домашнем интернете .Даже если вы ИП, договор на интернет и IP-адрес должен быть оформлен на ИП, а не на физлицо! «Серый» хостинг. Размещать сайты у хостеров вне реестра Роскомнадзора. Это касается абсолютно всех ООО и ИП, а не только госорганов! Нелегальную площадку РКН может заблокировать в любой момент вместе с вашим сайтом. 🔄 ЧТО ДЕЛАТЬ ПРЯМО СЕЙЧАС: Переоформить домен. Связать его с аккаунтом компании на «Госуслугах» (ЕСИА) до 18 января 2027 года. Переехать на белый хостинг. Использовать провайдеров только из официального реестра РКН. 💸 ШТРАФЫ ЗА НАРУШЕНИЕ: Физлицам/сисадминам (за размещение под столом): от 50 000 до 100 000 руб. Организациям: до 1 000 000 руб. Руководителям: до 300 000 руб. Мы знаем, нами часто пользуются профессионалы из мира IT, пожалуйста обратите внимание на изменения в законодательстве. Не подставляйтесь. Часто при проверках государством используются автоматизированные системы, не стоит надеяться, что не найдут. 🟢 ЧТО ТОЧНО МОЖНО: Свои сайты на своем железе. Если вы не госструктура, вы можете спокойно держать свои серверы на своей площадке. Например, получили от нас прямые IP-адреса и запустили свои собственные сайты. Но внимание: размещать, чужие сайты на этих мощностях нельзя! Это теперь расценивается как незаконные услуги хостинга. Сайты на зарубежном хостинге. Как ни странно, коммерческому бизнесу это до сих пор не запрещено. Главное условие: на таком сайте не должно быть форм сбора персональных данных граждан РФ (ФЗ-152). Если у вас там просто сайт-визитка или инфо-портал без форм регистрации, корзины, подписок и обратной связи — держать его за границей можно. 🎉 ИЗ ПРЯМО ХОРОШЕГО: Все переоформление сайтов сейчас идет с авторизацией через «Госуслуги» (ЕСИА). Больше не нужно будет обращаться к нотариусам, слать бумажные письма или получать какие-либо дополнительные платные электронные подписи для физлиц. Портал Госуслуг сам выступает цифровым гарантом. Переходный период для привязки доменов — до 18 января 2027 года, но регистраторы уже требуют проверку.

С Первым сентября! Третья дочка сегодня пошла первый раз в первый класс! Ученикам - терпения и внимания, удачи и удовольствия от обучения и от применения полученных знаний! ИИ при всем его могуществе, может помочь проанализировать данные, может помочь решить проблему на основе доступной информации, но по-настоящему творить и придумывать что-то совсем новое может только человек. Но факт остается фактом, мы даже вообразить не можем какие знания будут востребованы через 10 лет...

Сегодня Минцифры сообщило о выделении операторам связи «большой четвёрки» по 90 МГц в полосе 4630-4990 МГц (n79) без проведения аукционов. https://digital.gov.ru/news/v-rossii-utverdili-usloviya-zapuska-5g Так же разрешено теперь использование уже выделенных частот для 5G. n78 (3,4–3,8 ГГц / 3,3–3,6 ГГц) самый популярный диапазон в мире для 5G остается недоступен для использования, Диапазон закреплен за космической связью и военными. Однако и n79 стандарт уже поддерживает довольно много устройств: Apple iPhone: Устройства серий iPhone 13, 14 и 15, а также более новые модели (iPhone 16, 17) из официально поставляемых или совместимых партий поддерживают диапазон n79. Huawei, Honor и Xiaomi (особенно для Китая): Большинство флагманских и средних аппаратов этих марок для китайского рынка оснащены n79, так как этот диапазон активно использует оператор China Mobile. Глобальные версии: Во многих глобальных версиях Xiaomi, POCO и Redme диапазон n79 часто исключают для удешевления или из-за ненадобности в Европе. Перед покупкой обязательно проверяйте детальные характеристики конкретного индекса модели в строке 5G Bands / NR Bands. Конкуренция на рынке растет, до половины домохозяйств не использовали фиксированный доступ в сеть который предоставляем в том числе и мы. Работает ютюбчик и вконтактик, а зачем wifi дома? А тут еще и скорости будут гарантированно лучше, чем через древний 2.4G D-Link DIR-300 роутер, хоть 10G к нему подведи. Из проблемных моментов. 5G по 5G по хорошему будет нормально работать только на прямой видимости до базовых станций. Их станет в разы больше, и это уже работа для нас операторов ШПД, подвести каналы связи к каждой из таких базовых станций. С 27 года они будут еще и российского производства, и вот там, кстати нам есть чем гордиться. Прогресс не остановить! На данный момент мы обеспечиваем трафиком 2 базовые станции LTE, это гигабиты трафика.

Все вернули, отказал один из ИБП, погасил часть оборудования. В работе используем на этот случай - сервисные байпасы. Вот такая вот железка - https://www.ozon.ru/product/baypas-eaton-hotswap-mbp-iec-mbp3ki-4320332087/?sh=_A5LEe9MIQ Включается одновременно как в ИБП, так и в сеть напрямую. И если ИПБ отказывает, как сегодня, или проводятся плановые работы, с помощью переключателя ручного ИБП отключается. Питание подается напрямую. Если ИПБ исправен, то оборудование при этом продолжает работать, настолько быстро происходит переключение. 3 ИБП - 3 байпаса. Можно полностью заменить все бесперебойники не отключая нагрузки.

Центральная серверная авария по питанию. Инет должен выжить.

Удивительное рядом, современное здание, круглосуточная диспетчерская служба, сотрудники на месте, а питание в помещение узла связи смогли вернуть только днем. Для нас шок, конечно. Обычно такие проблемы решаются сильно быстрее.

Авария на узле связи , один сегмент работающий от этого узла удалось поднять, но сам 6к2 без электропитания, решаем проблему.