MikroTik Certified Traffic Control Engineer

Name: Официальный трехдневный тренинг MTCTCE в Москве
Brand: MikroTik
Price: 30000 RUB
Availability: LimitedAvailability

Трехдневный тренинг

В связи с санкциями на территории РФ остановлен прием экзаменов и выдача официальных сертификатов MikroTik. Мы приняли решение не проводить очные тренинги сейчас, с обещанием принять официальный экзамен «когда-нибудь потом». Когда снимут санкции? Неизвестно. Куба под ними 60 лет. Слишком высокая неопределенность.
На авторские онлайн-курсы санкции не распространяются. Получать знания запретить нельзя. Вы можете пройти курс "Управление трафиком на MikroTik" онлайн. Это расширенная версия программы MTCTCE.

Преимущества обучения у нас

Полный возврат денег в первый день
Если вы до 16 часов скажете, что курс не нравится, вернем 100% оплаты
Пересдача за наш счет
Если экзамен не сдан (результат <60%), пойдите курс еще раз бесплатно.
30 дней консультаций
Задавайте вопросы по темам курса в течение месяца после обучения

Техническое задание

Схема сети

Для доступа к маршрутизатору из Интернета должен быть разрешен только определенный входящий трафик (SSH, WinboBox и др.). Любой другой трафик должен блокироваться.
Доступ по SSH из Интернета должен быть возможен только после того, как к маршрутизатору в течении одной минуты попробуют подключится по портам: 1234, 2345, 3456. Именно в этой последовательности.
Все DNS запросы должны обрабатываться только через DNS-сервер, указанный на маршрутизаторе, даже если в настройках компьютера указан другой DNS-сервер. При этом компьютер должен думать, что ему отвечает сервер, указанный в настройках.
Маршрутизатор должен быть защищен от атак. Во всех случаях, если это возможно IP-адрес с которого идет атака должен заноситься в черный список и блокироваться.
- Поиск открытых портов для дальнейшей попытки взлома устройств.
- DDoS-атаки через отражение (DNS Amplification).
- DDoS-атаки TCP SYN-flood.
- DDoS-атаки TCP http-flood.
- Другие виды DDoS атак.
- Попытка подбора пароля (brute-force атака) SSH.
В сети должна использоваться демилитаризованная зона (DMZ - Demilitarized Zone). В нее должен быть вынесен web-сервер.
В случае, если отражение атаки занимает ресурсы маршрутизатора, то затрачиваемые ресурсы должны быть минимизированы.
В сети должна использоваться беспроводная гостевая сеть. Клиентам гостевой сети не должны быть доступны ресурсы локальной сети и наоборот.
В целях предотвращения взлома сервер IP-телефонии извне должен быть доступен только для VPN-клиентов.
Правила должны быть не просто расставлены в правильном порядке, но еще и должна использоваться возможность перехода с одного правила на другое минуя лишние правила, чтобы не тратить на их обработку ресурсы процессора маршрутизатора. В зависимости от размера пакета при прохождении пакета через 25 правил файервола производительность может снизиться от 2-х до 10 раз. Указанная конфигурация подразумевает большое количество правил, которые могут существенно снизить нагрузку на маршрутизатор. Например, для RB750Gr3 при использовании пакетов размером 1518 байт без файервола скорость будет 1972 Мбит/с, а в случае прохождения через 25 правил файервола 1128 Мбит/с. При использовании пакетов размером 64 байта без файервола скорость будет 530 Мбит/с, а в случае прохождения через 25 правил файервола всего 48 Мбит/с.

Необходимо настроить правила использования интернет-канала шириной 20 Мбит/с. При настройке надо использовать «Queue Tree».На случай максимальной загрузки канала максимальный приоритет должен иметь управляющий трафик (WinBox, SSH).

1. Трафик IP-телефонии должен иметь приоритет перед всем остальным трафиком без учета управляющего трафика. При этом надо учитывать, что сервер телефонии периодически загружает большое количество обновлений. Поэтому нельзя использовать приоритезацию по IP-адресу сервера, т. к. в таком случае большой приоритет получит и лишний трафик, который может выдавить голосовой трафик.
2. Трафик между локальной сетью и DMZ не должен иметь ограничений по скорости.
3. Если канал использует одно устройство из основной сети, то ему доступна вся скорость полностью.
4. Если из основной сети подключаются второе и последующее устройства, то скорость делится между ними пропорционально запросам. То есть, если одно устройство просит 10 Мбит/с, а другое 3 Мбит/с, то скорость так и распределяется. Если каждое подключенное устройство запрашивает по 20 Мбит/с, то скорость делится между ними поровну.
5. В сети есть VIP-пользователи: директор и главный бухгалтер. В самом плохом случае им должно быть доступно не менее 2 Мбит/с каждому.
6. Если канал используют устройства из гостевой сети, то на все подключенные устройства доступно не более 5 Мбит/с. При этом должна быть доступна возможность кратковременно превысить этот лимит с пиком до 10 Мбит/с.
7. Если за канал конкурируют устройства из гостевой и основной сети, то:
  - Устройства основной сети могут занять весь канал, когда нет запросов от устройств гостевой сети.
  - Устройства гостевой сети получают скорость в соответствии со своими запросами, но не более 2 Мбит/с на всех.

О тренере

Дмитрий Скоромнов, сертифицированный тренер MikroTik

Практикующий сетевой инженер с опытом >15 лет
Постоянный спикер на MikroTik User Meeting
Инженер связи с высшим техническим образованием
Автор учебных программ и преподаватель с 2011 года

Подробное содержание курса MTCTCE

Отслеживание прохождения соединения

Connection Tracker
Возможные проблемы при использовании Connection Tracker, 2 WAN и IP-телефонии

Фильтры

Что не умеет брандмауэр MikroTik
Основы сетевой и информационной безопасности
Цепочки (по умолчанию и настроенные вручную)
Обзор всех видов действий (actions)
Обзор наиболее часто используемых правил (conditions)
Bridge Firewall
Брандмауэр в реальной жизни
Гостевая сеть
DMZ
FastTrack
Доступ после перебора портов
Распространенные атаки
RAW-Filter
Защита от сканирования портов
Защита от DoS-атаки
Доступ к SSH после перебора портов
Layer-7 Filter
Блокировка сайтов, торрентов и Tor
Настройка правил для оптимизации производительности
Поиск ошибок в файрволе

NAT

Цепочки (по умолчанию и настроенные вручную)
Обзор всех видов действий (actions)
Обзор наиболее часто используемых правил (conditions)
Проброс портов и частые ошибки
Netmap
Hairpin NAT
NAT helpers
NAT и IP-телефония
NAT, 2 WAN и IP-телефония

Таблица правил для манипуляции с пакетами (mangle)

Цепочки (по умолчанию и настроенные вручную)
Обзор всех видов действий (actions)
Обзор наиболее часто используемых правил (conditions)
Примеры сложных условий (conditions) (вкладки "advanced" и "extra")
Распространенные ошибки
Лучшие практики по маркировке трафика
Маркировка трафика для IP-телефонии
Маркировка маршрутов

uPNP