+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

сырой запрос, NOTRACK, SYN flood

сырой запрос, NOTRACK, SYN flood, RouterOS

nuclearcat

Guest

14.12.2013 01:46:00

Привет! У меня есть клиенты, которым нравятся ваши продукты, но они подвергаются DDoS-атакам (SYN flood). Боль неприятно, что у Mikrotik нет цели "notrack", просто SYN flood через его CCR сбрасывает CPU до 100%. И если бы оно было (например, -j NOTRACK или в новых версиях ядер: -j CT --notrack), то проблему можно было бы решить. Ему нужен conntrack только в специфическом случае, и он не может его полностью отключить. Пожалуйста, рассмотрите возможность добавления этой опции, сделать ее очень просто, и это поможет многим людям решить проблемы с переполнением conntrack. Если возможно, отнеситесь к этому серьезно, потому что у меня есть только два выбора: показать, насколько прекрасна Mikrotik поддержка, или объяснить, что она не идеальна, и перевести их на альтернативное решение. Спасибо.

DrDeft Guest	#2 0 14.12.2013 17:44:00 Мы подтверждаем наличие этой проблемы. Невозможно решить её ни на какой версии RouterOS. Любой может вызвать 100% загрузку CPU на CCR или любом другом Mikrotik роутере. Больно…

DrDeft Guest	#3 0 20.12.2013 13:08:00 у_р

eflanery

Guest

20.12.2013 19:02:00

+1, было бы отличным дополнением. Но сейчас проблему можно решить, используя два MT-устройства. Одно – как можно ближе к точке получения SYN-флудов, с отключённым conntrack, и статические правила файрвола для отбрасывания проблемных пакетов. А за ним – другое MT-устройство, с включённым conntrack, выполняющее необходимые операции, использующие conntrack. –Эрик

DrDeft Guest	#5 0 10.01.2014 19:54:00 up

doush Guest	#6 0 17.01.2014 10:22:00 +1. Легко выдерживаем %100 под dDoS

DrDeft Guest	#7 0 02.02.2014 13:55:00 Это исправлено в ROS 6.9?

lavv17 Guest	#8 0 10.06.2016 13:05:00 +1 Это дополнение могло бы сэкономить немного ресурсов на роутерах.

macgaiver

Guest

10.06.2016 13:11:00

К вашему сведению, это реализовано: Что нового в 6.36rc... :
...
*) firewall - добавлено меню "/interface list", которое позволяет создавать список интерфейсов, которые можно использовать как matcher для in/out-interface-list в брандмауэре;
*) firewall - добавлена фильтрация предварительного отслеживания соединения - таблица "raw", которая позволяет защитить отслеживание соединений от ненужного трафика;
*) firewall - появилась возможность добавлять доменное имя в address-lists (динамические записи для разрешенных адресов будут добавлены в указанный список);
...

Zorro Guest	#10 0 11.06.2016 11:47:00 Круто, но если убрать таблицу "сырых" данных, которая снижает накладные расходы (потому что пропускает перед любой обработкой), как указано в журнале изменений, придётся признать, что некоторые сетевые инженеры — не реализовали обнаружение flood-атак (включая SYN flood) в своих интерфейсах (иногда это имеет смысл не только на WAN-интерфейсах, кстати, особенно в крупных компаниях/сетях). На мой взгляд, это ОБЯЗАТЕЛЬНО для пограничного/граничного оборудования. То же самое касается обнаружения сканирования портов и других стандартных вещей. Лично я бы также очень хотел видеть в ROS функций, похожих на fwsnort, или что-то подобное. И пакет ZORP (даже как платная опция).

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры