Mikrotik_Делимся опытом, помогаем друг другу

[Valentin.net 1]

Есть, конечно, подозрение на корявость киевстар. Уж слишком много адресов вываливается на внешнем интерфейсе

[xakep7 6]

Только что, Kiano сказал:

Уверен, режте запросы из вне на локальный днс и всё

Смысл? Если можно просто отключить ответ на запросы извне локалки через данную функцию? Загрузки от этого будет меньше чем резать через фаер.

[Kiano 616]

Только что, xakep7 сказал:

Смысл? Если можно просто отключить ответ на запросы извне локалки через данную функцию? Загрузки от этого будет меньше чем резать через фаер.

А абонам давать внешний днс? Не есть гуд, каждый запрос на днс - новая запись в нате

[xakep7 6]

1 минуту назад, Kiano сказал:

А абонам давать внешний днс? Не есть гуд, каждый запрос на днс - новая запись в нате

Эта фитча влияет только на ответы через внешний интерфейс. На локалку она не влияет, на сколько я помню.

[Kiano 616]

2 минуты назад, Valentin.net сказал:

Есть, конечно, подозрение на корявость киевстар. Уж слишком много адресов вываливается на внешнем интерфейсе

А это натупили с трансляцией арпа, но не при чем в вашем случае. Забейте в арп запись для вашего шлюза, а на wan интерфейсе для арпа сделайте reply only

[Valentin.net 1]

Так, дропнул 53

[Kiano 616]

1 минуту назад, xakep7 сказал:

Эта фитча влияет только на ответы через внешний интерфейс. На локалку она не влияет, на сколько я помню.

Влияет, для него всё есть remote, только если железка сама юзает днс, то локальные

Только что, Valentin.net сказал:

Так, дропнул 53

Скрин в студию

[xakep7 6]

2 минуты назад, Kiano сказал:

Влияет, для него всё есть remote, только если железка сама юзает днс, то локальные

Да, так и есть. Раньше работало так, сейчас уже поменяли видимо.

Тогда верно, только лочить внешние запросы через фаер на порт.

[Valentin.net 1]

вроде того?

или протокол udp?

[xakep7 6]

3 минуты назад, Valentin.net сказал:

вроде того?

или протокол udp?

В основном udp, ну а вообще оба.

https://www.securitylab.ru/blog/personal/aodugin/296669.php

Изменено 2018-04-11 19:03:46 пользователем xakep7

[Valentin.net 1]

Эмм. Туплю. Еще одно правило сделать для второго протокола?

[xakep7 6]

1 минуту назад, Valentin.net сказал:

Эмм. Туплю. Еще одно правило сделать для второго протокола?

По идее да.

[Valentin.net 1]

Спасибо за ссылку. Прочитаю

Да, по tcp правило ничего не ловит, а по udp пошло резать трафик

[Kiano 616]

7 минут назад, Valentin.net сказал:

вроде того?

или протокол udp?

Только удп

И форвард тоже сделайте

8 минут назад, xakep7 сказал:

Да, так и есть. Раньше работало так, сейчас уже поменяли видимо.

Тогда верно, только лочить внешние запросы через фаер на порт.

На микротике с версии 3.х

Никогда так не было)) он не знает где внешний, а где внутренний

[Valentin.net 1]

форвард на какой интерфейс?

[xakep7 6]

3 минуты назад, Kiano сказал:

На микротике с версии 3.х

Никогда так не было)) он не знает где внешний, а где внутренний

На 6-ой ветке работало. Но видимо из-за DHCP/PPPoE

[Kiano 616]

Только что, Valentin.net сказал:

форвард на какой интерфейс?

Тоже самое, только чейн форвард

[mixtery 123]

55 минут назад, Kiano сказал:

А это натупили с трансляцией арпа, но не при чем в вашем случае. Забейте в арп запись для вашего шлюза, а на wan интерфейсе для арпа сделайте reply only

Это не затупили, а proxy-arp у провайдера
на микроте роутить дефолт надо не в интерфейс а в айпишник шлюза

[Kiano 616]

8 часов назад, mixtery сказал:

Это не затупили, а proxy-arp у провайдера
на микроте роутить дефолт надо не в интерфейс а в айпишник шлюза

ээм... я до этого и не додумался бы. Если в интерфейс, то оно работать в итоге хотя бы будет?

[mixtery 123]

1 час назад, Kiano сказал:

ээм... я до этого и не додумался бы. Если в интерфейс, то оно работать в итоге хотя бы будет?

 

[Kiano 616]

Только что, mixtery сказал:

 

Да я понял. Просто первый случай совсем не логичный

[mixtery 123]

2 минуты назад, Kiano сказал:

Да я понял. Просто первый случай совсем не логичный

Логичный, не логичный, а когда к вам на микрот прилетает dhcp, куда дефолт роутится?  в айпишник или интерфейс?

А там именно киевстаровский броадкаст на внешники, недоглядел. 

Собственно, киевстар, внешники. ЧЯДНТ?

Изменено 2018-04-12 05:42:20 пользователем mixtery
UPD

[Kiano 616]

26 минут назад, mixtery сказал:

Логичный, не логичный, а когда к вам на микрот прилетает dhcp, куда дефолт роутится?  в айпишник или интерфейс?

А там именно киевстаровский броадкаст на внешники, недоглядел. 

Собственно, киевстар, внешники. ЧЯДНТ?

 

 

не понимаю, как это у вас получилось

[Dimkers 1 620]

-

Изменено 2018-04-12 07:00:53 пользователем Dimkers

[Kiano 616]

39 минут назад, Dimkers сказал:

-

а я успел увидеть)

я не пойму, в каких сценариях роутит в интерфейс? никогда с таким не сталкивался