fizik051 Posted September 9, 2015 Posted September 9, 2015 (edited) Добрый день! Столкнулся со следующей проблемой. В организации сильно тормозил Интернет. Провайдер утверждает что канал сильно забит. Подключился к роутеру и увидел следующее. Файл во вложении. От микротика все отключено, при этом он продолжает генерировать трафик на передачу TX. Снифер показывает китайские IP адреса. Кто-нибудь сталкивался с такой проблемой? P.S. На картинке закрыт ip адреса внешнего интерфейса микротика. Заранее спасибо за помощью Edited September 9, 2015 by fizik051 Вставить ник Quote
Saiko Posted September 9, 2015 Posted September 9, 2015 Для начала закройте 53 порт Вставить ник Quote
unuser Posted September 9, 2015 Posted September 9, 2015 а еще в IP > DNS уберите галочку с Allow Remote Requests Вставить ник Quote
DRiVen Posted September 9, 2015 Posted September 9, 2015 уберите галочку с Allow Remote Requests Если порт закроет - необязательно, и кэш останется в работе. Вставить ник Quote
Saab95 Posted September 9, 2015 Posted September 9, 2015 Заранее спасибо за помощью В следующий раз вместо снифера нажмите кнопку Torch у сетевого интерфейса, на котором наблюдается подозрительная активность, там более информативно. Там же можно и порты посмотреть, и по скорости сортировать. Вставить ник Quote
fizik051 Posted September 10, 2015 Author Posted September 10, 2015 Заранее спасибо за помощью В следующий раз вместо снифера нажмите кнопку Torch у сетевого интерфейса, на котором наблюдается подозрительная активность, там более информативно. Там же можно и порты посмотреть, и по скорости сортировать. Скрин во вложении Для начала закройте 53 порт Закрыть входящий? Просто у меня именно исходящий трафик кладет канал. Вставить ник Quote
fizik051 Posted September 10, 2015 Author Posted September 10, 2015 Более подробный скрин Вставить ник Quote
fizik051 Posted September 10, 2015 Author Posted September 10, 2015 Закрыл DNS, ничего не изменилось Вставить ник Quote
kosmich7 Posted September 10, 2015 Posted September 10, 2015 Закрыл DNS Покажи каким правилом закрыл ? Скрины говорят порт открыт !Проверять так, вместо восмерок впиши свой айпи который получает микротик от провайдера. nslookup mail.ru 8.8.8.8 Правило блокировки выглядит так ? add action=drop chain=input comment=DNS dst-port=53 in-interface=ether1 protocol=udp Вставить ник Quote
fizik051 Posted September 10, 2015 Author Posted September 10, 2015 Закрыл DNS Покажи каким правилом закрыл ? Скрины говорят порт открыт !Проверять так, вместо восмерок впиши свой айпи который получает микротик от провайдера. nslookup mail.ru 8.8.8.8 Правило блокировки выглядит так ? add action=drop chain=input comment=DNS dst-port=53 in-interface=ether1 protocol=udp Закрыл, трафик сразу пропал. Из-за чего такая проблема получается? Вставить ник Quote
pppoetest Posted September 10, 2015 Posted September 10, 2015 https://www.google.com/search?q=mikrotik+dns+flood Вставить ник Quote
fizik051 Posted September 10, 2015 Author Posted September 10, 2015 Всем спасибо. Помогли. Вставить ник Quote
fizik051 Posted September 10, 2015 Author Posted September 10, 2015 Все равно немного не понимаю механизм этой атаки. У меня же в полку бьется исходящий трафик, а не входящий. А в данном случае получается мы закрыли входящий DNS трафик. При этом роутер перестал генерировать бесполезный трафик. Я так понимаю он учавствовал в DDos атаке. Буду признателен если поясните как это работает. Вставить ник Quote
kosmich7 Posted September 10, 2015 Posted September 10, 2015 Все равно немного не понимаю механизм этой атаки. https://www.google.com/search?q=mikrotik+dns+flood Вставить ник Quote
pppoetest Posted September 10, 2015 Posted September 10, 2015 Все равно немного не понимаю механизм этой атаки. https://www.google.com/search?q=dns+amplification Вставить ник Quote
fizik051 Posted September 10, 2015 Author Posted September 10, 2015 Разобрался. Еще раз всем спасибо. Первый раз столкнулся с реальными атаками, до этого мне всегда казалось это абстрактной темой, где-то далеко. Вставить ник Quote
.png.5d2afa2996cc6a85d0f2c09b92dd0a28.png)
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.