Перейти до

Mikrotik - флудят абоны на реальниках


Рекомендованные сообщения

Всем добрый день, интересует такой вопрос, есть сервер доступа на ОС Микротике, он получает инет от провайдера плюс блок из 16ти реальных IP. Абоны коннектяться посредством пппое под серыми IP, плюс некоторые под реальниками, но те, которые коннектяться под реальниками и у которых стоят роутеры mikrotik rb750/950 от них идет постоянно левый трафик на отдачу (от них), причем все эти роутеры обслуживаются одним админом абонента-предприятия. По его словам, у них все роутеры так настроены, но флуд только через меня. Подскажите пожалуйста куда копать, всем за ранее спасибо.

Ссылка на сообщение
Поделиться на других сайтах

який 

 

левый трафик на отдачу

що саме Ви вважаєте таким трафіком? 

Відредаговано vovaka
Ссылка на сообщение
Поделиться на других сайтах

Открытые DNS-резольверы на клиентских микротиках?

Аа, ну да, у некровтыков с этим печаль беда... Файером закрывается в элементе
Ссылка на сообщение
Поделиться на других сайтах

обычная рекурсия у абонов с некротиками :)

IP>DNS> Allow Remote Requests

отрубить

Відредаговано zulu_Radist
Ссылка на сообщение
Поделиться на других сайтах

обычная рекурсия у абонов с некротиками :)

IP>DNS> Allow Remote Requests

отрубить

 

 

Открытые DNS-резольверы на клиентских микротиках?

Аа, ну да, у некровтыков с этим печаль беда... Файером закрывается в элементе

 

скорее всего в этом беда, ткните носом пожалуйста, как победить эту хрень, за ранее спасибо

Ссылка на сообщение
Поделиться на других сайтах

 

обычная рекурсия у абонов с некротиками :)

IP>DNS> Allow Remote Requests

отрубить

так понял, со стороны абона убрать галочку?

 

если доступ на абонский некротик есть то да, уберите нах эту галочку на абонском некротике :)

Ссылка на сообщение
Поделиться на других сайтах

 

 

обычная рекурсия у абонов с некротиками :)

IP>DNS> Allow Remote Requests

отрубить

так понял, со стороны абона убрать галочку?

 

если доступ на абонский некротик есть то да, уберите нах эту галочку на абонском некротике :)

 

спасибо, буду пробовать

Ссылка на сообщение
Поделиться на других сайтах

проверить помогло или нет просто:

http://openresolver.com/

вбиваете айпишник абона

можете даже проверить до того как уберете галочку и после :)

 

а вообще я выше рекомендовал

 

если абон упирается, а так скорее всего и будет  :)

закройте к епеням на вашем сервере udp/53 in (к абонентам)

 
ибо этой ху..той страдают также многие сохо роутеры
Відредаговано zulu_Radist
Ссылка на сообщение
Поделиться на других сайтах

если абон упирается, а так скорее всего и будет :)

закройте к епеням на вашем сервере udp/53 in (к абонентам)

Можно по подробнее как это сделать а то админ в отпуске, а сам не сильно шарю

Ссылка на сообщение
Поделиться на других сайтах

обычная рекурсия у абонов с некротиками :)

IP>DNS> Allow Remote Requests

отрубить

А я то думаю, почему свич ругается что шторм идет от микротиков. Спасибо, щас поубираю своим клиентам

Ссылка на сообщение
Поделиться на других сайтах
/ip firewall filter add action=drop chain=forward dst-port=53 protocol=udp

Так и сделал, абоны начали ругаться что не работают одноклассники и еще ряд сайтов, вернул назад, че может быть?

Ссылка на сообщение
Поделиться на других сайтах
/ip firewall filter add chain=input action=accept protocol=udp src-address="внутренняя сеть абонов" dst-port=53 log=no log-prefix=""

/ip firewall filter add chain=input action=drop protocol=udp dst-port=53 log=no log-prefix=""
Ссылка на сообщение
Поделиться на других сайтах

обычная рекурсия у абонов с некротиками :)

IP>DNS> Allow Remote Requests

отрубить

И абонент сразу ругается, что у него пропал интернет. Должен работать или нет?

Ссылка на сообщение
Поделиться на других сайтах

IP>DNS> Allow Remote Requests

Включає обробку ДНС запитів як від абонентів за мікротіком, так і зовнішній ДНС запитів з Інтернету.

Якщо ви знімаєте цю галочку, то ДНС запити від клієнтів не буде кому обробляти.

Тому потрібно прописати ДНС сервери клієнтам цього мікротіка.

Скоріш за все ДНС сервери потрібно прописати в налаштуваннях ДХЦП сервера на цьому ж мікротіку.

Ссылка на сообщение
Поделиться на других сайтах

Не выключайте вы allow remote requests, этим микротиковский форвардер целиком тушится, и гемора больше.

Одно правило на клиентских микротиках надо вверх таблицы добавлять (<WAN> подставить соответственно реального интерфейса (pppoeX/pptpX/etherX/что_там_у_вас):

/ip firewall filter add action=drop chain=input in-interface=<WAN> dst-port=53 protocol=udp 
Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • Від WIFINS
      Можливо комусь потрібно. Продам MIKROTIK б/в в основному серія SXT, є не багато SQ та декілька DISC. Всі з рівнем ліцензії 3.  Є на 2 ,4 GHz і на 5 GHz. Ціна 380 грн за штуку (до 5 шт). Більше 5 штук - 350 грн за штуку. Укомплектовані блоком живлення та POE інжектором. Зв'язок через ЛС.
    • Від G_ua
      Доброго дня всім!
      Підскажіть, можливо хтось стикався з проблемою:
      На мікротіку IKEv2, тільки для андроід клієнтів. ip адреси видаються з пула dhcp, тобто пула локальної мережі (192.168.1.0/24). При підключенні все працює, кліенти бачать інші vpn мережі (192.168.10.0/24, 192.168.11.0/24) але не бачать локальної, тобто 192.168.1.0/24, з неї вони отримують dhcp при підключенні. Якщо видати кліенту, на приклад, 11.0.0.0/24, любу мережу відмінну від локальної, ми бачим всі адреси в діапазоні 192.168.1.0/24, але не бачимо vpn (бо з тої сторони vpn нема маршруту в мережу 11.0.0.0/24).
      Чи можливо щоб при підключенні андроід кліенти отримували ip з мережі 192.168.1.0/24 та могли підключитися на ресурси цієї мережі, на ...1.2 до прикладу. Тобто воно не  маршрутизує в мережу з якої ми отримаємо адресу, але бачить по дефолту любу відмінну від ...1.0 мережу.
      Клієнт аднроід StrongSwan.
    • Від denisluk
      Вітаю шановне товариство! Маю напіввирішену проблему з вищевказаним провайдером і EPON підключенням.
      Суть проблеми полягає в тому що періодично і рандомно на Мікротіку відвалюється з'єднання і самостійно відновлюється.
      Сетап: 1) ONU Picotel PU-E910, 2) Mikrotik HEX
       
      Тріолан наливає інет зі статичною адресою і прив'язкою по МАС. 
      На мікроті все стандартно: виділив порт під WAN, насетапив адресу, склонував МАС ноута (спочатку по швидкому тестили інет на ноуті тому його МАС і вбили в білінг), правило НАТу вписав - інет є. 
      Потім рандомно почав відвалюватись інет. В логах геть нічого. Порт мікрота не змінював статус. 
      Перевірив налаштування - все типово. І ніяких глюків чи помилок не виявлено.
      Заміна порта мікрота, прошивка, заміна на інший мікрот (новий з коробки зі скинутим конфігом, налаштований лише з одним правилом НАТу) ніяк не покращили ситуацію. 
      Представник саппорта прийшов і замінив ОНУшку. Теж не допомогло. При спілкуванні представника саппорта по телефону з мережевим інженером з'ясувалось що відвал стається саме тоді, коли мікрот перестає передавати свій МАС. Не бачимо маку, нема авторизації, логічно. 
      З ноутом на пряму все працює без зауважень. На моє питання: "що може бути?" представник саппорта розвів руками і запропонував роутер "не мікротік")))) Мене такий варік не влаштовує, тому що на моєму роутері побудована і пачка тунелів на роботу і до батьків. 
      Почав розбиратись сам, що пробував: 1) ставити чек гетвея пінгами, 2) чек arp запитами, 3) отримувати адресу і по дхцп (так, писав про статику, знаю. Але це рекомендація Тріолану. Взагалі у них працює ДХЦП, але при зникненні світла з ДХЦП є проблеми в них. Тому лишився на статиці), 4) інші мікроти, 5) інші блоки живлення, 6) інші кабелі utp. Все це не мало позитивного результату і не міг відслідкувати що саме спричиняє проблему. 
       
      Що допомогло: 1) створив брідж. 2) на брідж прописав майстер-МАС який закріплений в білінгу, 3) відключив на цьому бріджі оновлення МАС, 4) на цей брідж прописав адресу і т.д. 4) вкинув порт, до якого підключена ОНУ, в цей брідж без ніяких налаштувань взагалі, 5) правило срцнат. 
      Диво, все працює і аптайм уже більше тижня. При спілкуванні з саппортом все ОК, вони бачать валідний МАС (МАС бріджа).
       
      Шановне товариство, допоможіть розібратись: чому схема яка допомогла - працює, а типове налаштування веде до обривів? Дякую за ідеї.
       
       
       
    • Від GekaPeka
      MikroTik PowerBox Pro (RB960PGS-PB), новый, в упаковке. Цена: 2800 грн.
    • Від Игорь_Кривой Рог
      Продам за ненадобностью остатки после модернизации, лежать без дела.
       
      Mikrotik RB850Gx2 - 4шт.
       
      Mikrotik RB260GS - 1шт.
       
      Все в рабочем состоянии, сброшены на заводские настройки, битые порты отсутствуют.
       








×
×
  • Створити нове...