BGP на Mikrotik

[sevan]

Снова я с mikrotikom.

В общем вопрос в чем может быть проблема?

Откуда левый трафик в инет???

Edited August 6, 2013 by sevan

[AciDSAS]

Снова я с mikrotikom.

В общем вопрос в чем может быть проблема?

Откуда левый трафик в инет???

 

Скорее всего идут запросы на ваши реальные ip, которые в данный момент offline. свой блок реальников отправьте в blackhole или unreachable.

[morf]

Скорее всего идут запросы на ваши реальные ip, которые в данный момент offline. свой блок реальников отправьте в blackhole или unreachable.

+

Уже проходил через этого.

[saaremaa]

Уже проходил через этого.

подскажите пожалуйста как что-бы не искать. :)

[AciDSAS]

Уже проходил через этого.

подскажите пожалуйста как что-бы не искать. :)

 

Если для MT, то

/ip route add distance=1 dst-address=10.10.10.0/23 type=unreachable

10.10.10.0/23 заменить на свой диапазон. Вместо unreachable можно поставить blackhole.

 

[sevan]

Уже проходил через этого.

подскажите пожалуйста как что-бы не искать. :)

 

Если для MT, то

/ip route add distance=1 dst-address=10.10.10.0/23 type=unreachable

10.10.10.0/23 заменить на свой диапазон. Вместо unreachable можно поставить blackhole.

 

Спасибо за подсказку.

[Sonne]

Для блекхол маршрутов дистанция должна быть минимальная например 250. Иначе запись может перебить по весу информацию из роутинговых протоколов.

 

Unreacheable ставить не нужно, это означает что на каждый запрос из интернета будет отсылаться ICMP ответ о недоступности, нужно ставить blackhole.

[AciDSAS]

Для блекхол маршрутов дистанция должна быть минимальная например 250. Иначе запись может перебить по весу информацию из роутинговых протоколов.

 

Unreacheable ставить не нужно, это означает что на каждый запрос из интернета будет отсылаться ICMP ответ о недоступности, нужно ставить blackhole.

 

Теоретически с дистанцией правильно. Но на практике полезные маршруты имееют меньший размер (вместо /22 роутится с меньшими масками), а меньшая маска имеет приоритет над бОльшей. Проблем с distance меньше 250 не возникало.

 

Иногда полезно отправить icmp dest unreachable, а не молча откинуть пакет. Помогает от прилета еще 30 таких же пакетов.

[saaremaa]

Если для MT, то

/ip route add distance=1 dst-address=10.10.10.0/23 type=unreachable

10.10.10.0/23 заменить на свой диапазон. Вместо unreachable можно поставить blackhole.

Вот огромное Вам человеческое СПАСИБО! Я эту проблему решил менее элегантным способом → костыль с выборкой из /ip firewall address-list и правила в /ip firewall filter, но это решение откушивало CPU серьезно.