[ioma]

ioma можно по-разному, например вот так

ip firewall filter add chain=input dst-address=1.2.3.4 protocol=udp dst-port=53 action=drop

в dst-address ваш реальный ip

 

 

если закрыть днс извне таким способом, у некоторых юзеров пропадает инет) может есть еще какой то способ?

[Yaten]

примерно в конце июня была такая же фигня. Только трафика я поимел 50Мбит и загрузку 100%

Прибил фаерволом 53 порт, загрузка упала до 40-50%, через сутки трафик кончился.

После этого, на всех машинах с МТ прибил 53 порт снаружи.

[ioma]

примерно в конце июня была такая же фигня. Только трафика я поимел 50Мбит и загрузку 100%

Прибил фаерволом 53 порт, загрузка упала до 40-50%, через сутки трафик кончился.

После этого, на всех машинах с МТ прибил 53 порт снаружи.

 

ip firewall filter add chain=input dst-address=1.2.3.4 protocol=udp dst-port=53 action=drop

такой командой?

[Yaten]

да, только ещё интерфейс указал.

[rmika]

я бы так попробовал

/ip firewall filter

add chain=input connection-state=established

add chain=input connection-state=related

add chain=input dst-address=1.2.3.4 protocol=udp dst-port=53 action=drop

 

Но на самом деле лучше дропать всё, и добавить разрешающие правила для тех кому нужен доступ из мира.

 

или же разрешить только icmp из мира и юзать "port knocking over ICMP" http://habrahabr.ru/post/186488/

[Yaten]

из мира доступ ни кому не нужен - я для себя делаю днс.

[rmika]

из мира доступ ни кому не нужен - я для себя делаю днс.

Если интернет получаешь с интерфейса vlan1 то это точно поможет, причем не только от атак на dns-сервер.

/ip firewall filter

add chain=input connection-state=established

add chain=input connection-state=related

add chain=input in-interface=vlan1 action=drop

[rmika]

Ну что каков результат?

[Yaten]

Если интернет получаешь с интерфейса vlan1 то это точно поможет, причем не только от атак на dns-сервер.

/ip firewall filter

add chain=input connection-state=established

add chain=input connection-state=related

add chain=input in-interface=vlan1 action=drop

 

Только не забудь себе доступ оставить

[DarkMeTaL]

ioma можно по-разному, например вот так

ip firewall filter add chain=input dst-address=1.2.3.4 protocol=udp dst-port=53 action=drop

в dst-address ваш реальный ip

 

 

если закрыть днс извне таким способом, у некоторых юзеров пропадает инет) может есть еще какой то способ?

 

таким способом Микротик будет блокировать и ответы на свои запросы, я вышел из ситуации таким методом:

 

ip firewall filter add chain=input action=drop protocol=udp src-address-list=!DNS in-interface=ether1 dst-port=53

 

а в адрес-лист DNS добавил адреса используемых DNS-серверов