зафильтруйте на внешку 53 порт

зафильтруйте на внешку 53 порт

Ребята, кто может объяснить эту аномалию? Похоже на ddos атаку сторонних хостов с порта 5678 идет обращение на 53 dns cloudflare. При этом я не вижу исходящих пакетов со своих удаленных хостов, такое ощущение что пакеты поддельные.

Так это ваши л2тп клиенты ломятся на днсы. Ищите причины у них

Так это ваши л2тп клиенты ломятся на днсы. Ищите причины у них

в том то и дело что на л2тп клиентах нет активности как таковой, и в списке соединений ничего такого не видно.

Как не видно если вы логи показали где это написано

все верно, а на л2тп клиентах этого не видно как бы не странно это звучало, такое ощущение что подделываются пакеты от имени л2тп соединений

Нет. Пакеты идут с интерфейса л2тп. Это нормально если они дефолт маршрут используют. Проверьте доступность от клиентов до днс серверов. Может доступа нет вот они и ломятся постоянно

Дефолтный маршрут интернет на микротах клиентов идет через интерфейс провайдера, а в л2тп соединении вообще отключен "Add Default Route" В Routes List прописан маршрут только на один локальный адрес который идет через L2TP, все. Говорю же странно все это...

Ну покажите с клиента л2тп /ip route print

А в самом микроте (клиенте) днс какой прописан? Обслуживает ли он местную сеть на днс запросы?

нет, не обслуживает, прописан 1.1.1.1, 1.0.0.1 на самом клиентском микроте и на dhcp

может ли быть такая аномалия из-за allow-remote-requests?

может ли быть такая аномалия из-за allow-remote-requests?

Если из вне не прикрыт то может. Но ответы должны улетать через провайдера.

Всех приветствую, на прошлой неделе у меня была пробелма с широковещательным трафиком в сети, вобщем то она и не ушла. Пытаюсь как то анализировать и искать проблему. У меня в данный момент есть микротик который является шлюзом в этой сети и подключен одним портом в локальную сеть, значение Rx Broadcast на данном порту за 5 дней аптайма составляет 15 147 782. что думаю весьма и весьма много. Вычитал что можно поставить некий фильтр на бридж. /interface bridge filter add chain=forward limit=10,15 packet-type=broadcast add action=drop chain=forward packet-type=broadcast Подскажите какие значения мне лучше указать в этом лимите и что будт если я выставлю его слишком малым?

Хм, сейчас подумал и у меня назрел вопрос. Если у меня не выходит подобрать правильный лимит на блокировку трафика broadcast-а. тогда быть может в фильтрах бриджа, я создам кучу правил чтобы определённым mac-адресам (точки доступа и терминалы сбора данных) разрешалось без помех слать broadcast запросы, а уже всех остальных добавлять в лимит.

@tarikin слушай. А как на счёт hotspot ikev2 на нем крутиться? В микротах ip hotspot host есть такая штука как to-address (read-only; IP address) : New client address assigned by HotSpot, it might be the same as original address и клиент о ней ничего не знает.

Подключил впн, получил хотспот приветствие?:) Это что-то новое :)

Нееее. Наоборот. Через хот спот. После авторизации подключить ikev2

Не понимаю юзкейс

Привет, народ! Кто юзал MikroTik RB1100AHx4 Dude edition? интересует производительность под нагрузкой. Планирую Dude (порядка 15 девайсов), штук 20 vpn IPSec, суммарно до 10 Мбит\с плюс сотня хостов в локалке. Взял бы CCR, но привелекает опция bypass)))

В личку. Могу подключиться посмотреть

У меня два таких, только не дьюд эдишн. Один из них держит 130 openvpn клиентов, при перезагрузке устройства, когда все эти клиенты начинают резко ломиться на микротик, цп примерно 60-80% секунд 20 держится, потом в простое где то 10-15, иногда 20. Трафика не сильно много.

Благодарю.

Пришёл в гостиницу. Там хотспот. Авторизировался. Интернет есть. Хочу ikev2 установить до своей сети. С клиентского устройства

Спасибо, разобрался в аномалии. Проснифил пакеты, и вот куда нацелена атака, см.скрин ✅ Решение: отключить Detect Internet, после все тихо) Решение увидел здесь https://forum.mikrotik.com/viewtopic.php?t=141454

так вроде "Детект Интернет" активируется только после нажатия на кнопку, и не работает постоянно или я ошибаюсь?

для того чтобы отключить нужно везде установить в "none"

Авторизовался - у тебя весь инет открыт, делай что хочешь. В чем тут ике2?

Двойной нат. Точнее нат один и трансляция адреса от хот спота

@sa_drug @vasilevkirill ?

При таком нате, имхо, все будет нормально при однотипно оборудовании с двух сторон. У меня на Cisco по крайней мере это работает

@sa_drug @vasilevkirill ?

слушаю?

hotspot микротика полнный plug-and-play у клиента могут стоять, лубые сетевые настроки, а инет и хостспот работать будет. Такое может произойти минимум в двух слачаях, если два разных пула и разные используются в dhcp и хостпот (хотя по сути диапозоны одинаковые или пересекаються), второй вариант это то, что хотспот не смог определить что клиент получил настройки по dhcp и выдал поверх текущего ещё один (выдал в переделах своего локального процесса). Ещё одни кейс, это если используется NAT2L например какойнибудь pseudobridge когда за одним маком, находятся сразу несколько клиентов. Посмотри в Pool Used выданные адреса, и проверь что второго такого мака нет.

делаем вывод, что мешает )))