| Author |
Message |
|
|
Post subject: mikrotik problem
 Posted: 07.06.2015 - 21:32 #109187
|
|
Guru
Joined: Jún 19, 2005
Posts: 1019
|
|
| trosku sa bojim polozit tuto otazku aby ste ma nepovazovali za sprosteho, ale mam taky problem, ze MK na vystupnom (povedzme WAN) porte generuje sam sebe pakety a tym mi vytazuje linku, moze byt MK zavereny alebo ja mam nieco zle nastevene? port eth2 je lokalny port tam mam traffic 70M/20M ale na eth1 porte je cca o 50M viac 120M/70M |
|
|
| |
|
|
|
 |
|
|
|
Post subject: RE: mikrotik problem
Posted: 07.06.2015 - 21:59 #109188
|
|
Basic
Joined: Aug 14, 2011
Posts: 209
|
|
| toto som uz aj ja riesil, na uplink porte som mal stale vacsi traffic ako na odchadzajucom porte. nepomohlo ani ked som vo firewall dropol input cez wan port, az ked som vo forwarde povolil len traffic ktory prichadza na wan a odchadza cez lan a traffic ktory prichadza na lan a odchadza na cez wan. |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 07.06.2015 - 22:02 #109189
|
|
Basic
Joined: Jan 23, 2009
Posts: 176
|
|
| Ako si prisiel na to ze ich generuje mk ? Nelezie ti tam nieco z netu ? Cez torch si nic nenasiel ? Mas bloknute DNS zvonku ? |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 07.06.2015 - 22:23 #109190
|
|
Majster
Joined: Jan 08, 2006
Posts: 2584
|
|
| Mne pomohlo bloknúť DNS na WAN porte. Je to buď útok z vonku alebo zavireny užívateľ. |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 08.06.2015 - 18:35 #109195
|
|
Guru
Joined: Jún 19, 2005
Posts: 1019
|
|
a staci bloknu port 53 na eth1?
PS: z vonka shaer nie je pristupny |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 09.06.2015 - 07:55 #109198
|
|
Ucen
Joined: Okt 21, 2004
Posts: 792
|
|
/ip firewall filter
add action=drop chain=forward comment="drop wan -> wan" in-interface=wan out-interface=wan |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 09.06.2015 - 08:39 #109199
|
|
Majster
Joined: Máj 12, 2004
Posts: 4579
Location: Bratislava
|
|
| a pomohlo to? cele je to divne, nezda sa mi ze by mohol router/mikrotik "generovat" traffic na uplink porte, nieco tam nebudes mat ok, torchol si to? |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 09.06.2015 - 08:44 #109200
|
|
Ucen
Joined: Okt 21, 2004
Posts: 792
|
|
| Router negeneruje ale routuje to znamena ze ked k nemu dojde nieco co nema na lokalnych interfejsoch a neexistuje pre to pravidlo v route kde to poslat tak to posiela cez branu von. |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 09.06.2015 - 09:19 #109201
|
|
Majster
Joined: Máj 12, 2004
Posts: 4579
Location: Bratislava
|
|
| ak by to torchol videl by snad ze to tak je a prichadzalo by to z nejakeho lokalneho interfacesu ale on tvrdi ze router generuje sam sebe pakety, takze ja si to vysvetlujem tak ze na lokalnych ifacesoch to vobec nie je |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 09.06.2015 - 12:22 #109206
|
|
Majster
Joined: Okt 21, 2003
Posts: 4247
|
|
dostali sme v poslednom case viacero hlaseni o tom, ze z nasich IPciek sa robia DNS amplify utoky... vo vsetkych pripadoch za tym bol blbo nastaveny zakaznicky DNS server/resolver, vacsinou na mikrotiku, kde je takto nastaveny defaultne.
princip takeho utoku je, ze si v sieti vytvorim DNS poziadavku, naplnim do paketu cudziu IP adresu ako zdrojovu, a paket odoslem na otvoreny DNS server. kedze je to UDP, nepotrebuje aby sa nadviazanie spojenia potvrdilo cez SYN+ACK, takze podvrhnuta adresa je OK, nevadi funkcnosti. DNS server posle odpoved na ten host, ktoreho adresa bola uvedena ako zdrojova. odpoved pri DNS je vacsia ako poziadavka, pri vhodne zvolenom requeste moze byt mnoho-mnoho-mnohonasobne vacsia. takze mne staci posielat malicke pakety na DNS server, a DNS server bude bombovat velkymi paketmi toho, koho adresu som v pakete podvrhol. preto je to nazyvane DNS amplify (zosilnovaci) utok.
a preto si mate DNS servery konfigurovat tak, aby vybavoval poziadavky len z vasej vlastnej siete, a ostatne zahadzovali... |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 13.06.2015 - 15:16 #109220
|
|
Majster
Joined: Aug 31, 2005
Posts: 2295
Location: Hájske
|
|
| Pixall nevies ako to v MK nastavim? Teda nech riesi len poziadavky z LAN. resp aj ktokolvek kto to ma tak nastavene |
|
|
| |
|
|
|
|
|
|
|
Post subject: RE: mikrotik problem
Posted: 13.06.2015 - 15:47 #109221
|
|
Majster
Joined: Jan 08, 2006
Posts: 2584
|
|
| bud si nahodis do address listu vsetky svoje lokalne subnety a vsetko ostatne dropnes, alebo rovno dropnes vsetok DNS trafik na WAN iface nesmerujuci na LAN iface |
|
|
| |
|
|
|
|
|
|
Powered by PNphpBB2 © 2003-2005 The PNphpBB Group
Credits |
