Sergiy
Народ, где можно почитать как микротик оперирует конекшн стейтами для UDP трафика.
Владимир
А что конкретно интересует?
Владимир
Что он может с ними делать или вообще логика работы?
Владимир
Логика как у всех, этож стандарт... Против него не попрёшь. Про то, что с ними делать можно на вики почитать. Если вопрос конечно об этом.
Sergiy
Ну человек у меня спросил как вообще микротик работает с конекшнстейтами у УДП, если у УДП нет понятия конекшена как такового
Sergiy
Ну я предположил что микротик просто оперирует парами СРЦ,АДрес:порт-Дст.Адрес:порт. и каждая такая пара это отдельный конекшн с точки зрения тика
Владимир
Пропустил про удп... Сорян
Sergiy
но остается вопрос как он инвалиды УДП понимает. ну и рилейтеды
Владимир
Да никак он не понимает. Он просто ставит для всех udp аптайм. Если аптайм прошёл - рубит коннекшн. Как и все другие роутеры
Владимир
Аптаймы можно подруливать в конфигах
Sergiy
не, я о опирании на конекшнстейт в файрволе
Sergiy
нью, естаблишед, рилейтед, инвалид
Sergiy
ну нью понятно, просто первый пакет для пары срц-дст адрес:порт. естаблишед - тупо что то прилетевшее в ответ на первый пакет или последующий трафик. А инвалид и рилейтед в УДП откуда берет?
Владимир
Владимир
Колонка так и называется tcp state
Владимир
В удп коннекшенах там пусто
Sergiy
да прям таки. а срезание 53 порта по кон. стейту нью? для предотвращения ДНС-флуда на внешнем интерфейсе?
Владимир
Вы ещё tcp tarpit на udp навесьте
Anonymous
Тогда вопрос, вот такой конфиг firewall'a, почему ответы DNS серверов не блокируются роутером?
Разрешаем пинги
add chain=input action=accept protocol=icmp
add chain=forward action=accept protocol=icmp
Разрешаем установленные подключения
add chain=input action=accept connection-state=established
add chain=forward action=accept connection-state=established
Разрешаем связанные подключения
add chain=input action=accept connection-state=related
add chain=forward action=accept connection-state=related
Разрешаем все подключения из нашей локальной сети
add chain=input action=accept src-address=192.168.1.0/24 in-interface=!ether2
Разрешаем входящие подключения для торрента
add chain=forward action=accept protocol=tcp in-interface=ether2 dst-port=45000
Обрубаем инвалидные подключения
add chain=input action=drop connection-state=invalid
add chain=forward action=drop connection-state=invalid
Обрубаем все остальные входящие подключения
add chain=input action=drop in-interface=ether2
Разрешаем доступ из локальной сети в интернет
add chain=forward action=accept in-interface=!ether2 out-interface=ether2
Обрубаем все остальные подключения
add chain=forward action=drop
Sergiy
ладно, я спать хочу. а так бы поспорил 😊
Владимир
Да со мной бесполезно)))))))) на то я и панда 😂
Anonymous
Допустим микротик запрашивет dns запрос в мир, а ответ ему прилетит как?
Cumberbatch
Допустим микротик запрашивет dns запрос в мир, а ответ ему прилетит как?
А что ему запрещает по вашему?
Владимир
Ох)))))) класс... Я то думал у меня мания приследования))))))) но чтоб дропать форвард....
Anonymous
add chain=input action=drop in-interface=ether2
Anonymous
А что ему запрещает по вашему?
Владимир
Это инпут
Владимир
А ответы форвардятся
Cumberbatch
Так он на сам микрот говорит
Cumberbatch
add chain=input action=drop in-interface=ether2
Ну у вас эстеблишед открыт. Ответ такой буде.
Anonymous
К томуже последнюю строчку смотрите add chain=forward action=drop
Anonymous
а как он определяет коннекшн стей для udp ? Оноже только у tcp
Anonymous
Ну у вас эстеблишед открыт. Ответ такой буде.
Cumberbatch
К томуже последнюю строчку смотрите add chain=forward action=drop
Это к самому микроту не относится
Cumberbatch
а как он определяет коннекшн стей для udp ? Оноже только у tcp
Микрот себе сам записывает.
Anonymous
это панде был ответ :). Запросы посылает сам микротик.
Anonymous
Это к самому микроту не относится
Владимир
Dns пользует как udp, так и tcp.... Если вопрос задан в контексте темы про udp стэйты
Anonymous
В контексте udp стейтов. Как они устроены у микротика, как он определет какой connection state у udp ответа
Cumberbatch
Эстеблишет к tcp не имеет отношения. Фича микрота которая также называется. Но смысл немного другой
Владимир
Никак. У udp нет стэйтов
Cumberbatch
Да речь про микрот. У них используются эстеблише в своём понятии. А называются также. Вот и путаница.
Anonymous
Так здорово, что у них свое понятие, а какое у них тогда под него определение, касательно udp?
Innokentiy
http://www.iptables.info/en/connection-state.html#UDPCONNECTIONS
Cumberbatch
Такое же как у tcp.
Первый запрос нью. Ответ и дальнейший трафик эстеблише.
Владимир
Млин.... Вопрос был про инвалид и рилейтед же
Владимир
%)
Владимир
И я упорствую, что нет стэйттв таких
Cumberbatch
Таких нет
Innokentiy
а почему просто не прочитать документ?
Innokentiy
там четко написано, что есть и чего нет
Innokentiy
related - если расковыривание трафика дало понимание, что конкретная датаграмма как-то связана с другим потоком
Innokentiy
требует ALG
Anonymous
Я так понял, что есть только new и establised для udp
Владимир
С пол года назад обрёл жизнь какой-то новый протокол... Гибрид tcp и udp... Там возможно уже есть... Не вспомню сейчас что там и как
Innokentiy
invalid - в случае с udp может быть, если не удалось вообще обработать пакет
Innokentiy
например, по недостатку памяти
Innokentiy
The RELATED state is one of the more tricky states. A connection is considered RELATED when it is related to another already ESTABLISHED connection. What this means, is that for a connection to be considered as RELATED, we must first have a connection that is considered ESTABLISHED. The ESTABLISHED connection will then spawn a connection outside of the main connection. The newly spawned connection will then be considered RELATED, if the conntrack module is able to understand that it is RELATED. Some good examples of connections that can be considered as RELATED are the FTP-data connections that are considered RELATED to the FTP control port, and the DCC connections issued through IRC. This could be used to allow ICMP error messages, FTP transfers and DCC's to work properly through the firewall. Do note that most TCP protocols and some UDP protocols that rely on this mechanism are quite complex and send connection information within the payload of the TCP or UDP data segments, and hence require special helper modules to be correctly understood.
Innokentiy
The INVALID state means that the packet can't be identified or that it does not have any state. This may be due to several reasons, such as the system running out of memory or ICMP error messages that do not respond to any known connections. Generally, it is a good idea to DROP everything in this state.
Anonymous
add chain=input action=accept connection-state=established
Тоесть я правильно понял, что вот эта строчка принимает ответ от udp dns сервера?
Anonymous
Спасибо.
Евгений
Innokentiy
"гибрид TCP и UDP" напомнило старый анекдот про ученых, скрестивших вишню с арбузом
Innokentiy
плоды получились размером с вишню, а вот косточек в них оказалось как в арбузе
Innokentiy
подозреваю, что речь про QUIC
Innokentiy
ему, конечно, не полгода никак, но под описание попадает хотя бы как-то только он
Innokentiy
это надстройка над UDP, реализующая некоторые функции TCP (установление соединения, управление перегрузками), необходимые для TLS
Innokentiy
так-то попыток скрестить ужа с ежом было много
Innokentiy
например, был такой протокол RDP (не путать со службой удаленного рабочего стола)
Innokentiy
https://ru.wikipedia.org/wiki/RUDP
Innokentiy
такой кастрированный TCP без управления размером окна
Innokentiy
как следствие - 90% таймеров не нужны
Сергей
Доброе утро! Иннокентий в микротик чате, значит этот чат особенный )
Vassiliy
Ещё какой особенный
Vassiliy
Dmitrii
коллеги, подскажите методику. Как цеплять микрот к внешнему серверу поднимая ipsec без реального ip, на yota?
У меня в дц стоит PFsense, на нем openVPN уже работает для юзеров, а в филиале будет yota. Чем зацепить? обычный L2TP поднял без проблем, трафик гуляет, шифрование бы поверх накинуть, но как-то не соображу даже с какой стороны подобраться.
Alex
без статики - костыли. сам уже давно думаю над похожей проблемой
Дмитрий
коллеги, подскажите методику. Как цеплять микрот к внешнему серверу поднимая ipsec без реального ip, на yota?
У меня в дц стоит PFsense, на нем openVPN уже работает для юзеров, а в филиале будет yota. Чем зацепить? обычный L2TP поднял без проблем, трафик гуляет, шифрование бы поверх накинуть, но как-то не соображу даже с какой стороны подобраться.
Ни как, если тем более с модемом от йоты, нужен белый адрес