Атака TCP SYN Flood, вызывающая высокую загрузку процессора.

Опишите, пожалуйста, использование CCR1036… потому что для разных сценариев есть разные конфигурации фаервола.  
1. Работа в режиме BGP? ASN-сессии?  
2. Работа в режиме CGNAT?  
3. Работа в режиме PPPoE-сервера?  

Идеальный сценарий для защиты от DDoS — не использовать отслеживание соединений, не применять ip/firewall/nat или фильтрующие правила. Например, если вы запускаете только BGP на устройстве, используйте только ip/firewall/raw, чтобы сбрасывать все пакеты с атакующими векторами до их обработки процессором — именно это взрывает загрузку CPU на устройствах. В ip-настройках включите rp-filter loose и tcp-syncookie, сбрасывайте все порты с 0 до 1023 на udp и tcp. Порты 1900 (SSDP UPNP), которые тоже используются в атаках, никогда не должны быть включены на роутере BGP в ядре. Также 11200 memcached.  
В ip/settings отключите route cache для BGP и отключите отслеживание соединений. Это сильно повысит производительность.  

Конечно, есть и другие виды атак. У вас сегодня RouterOS v7 и дешёвые серверы Xeon Dell R630 с E52699v4 — всего 88 ядер на частоте 2,4 GHz. Они в 20 раз превосходят CCR1036 по маршрутизации и при этом дешевле. Запуск v7 x86_64 с L6 и сетевыми картами Mellanox 10G/25G/100G PCI-e 3.0 x16 даст вам в 10 раз лучший результат, чем CCR2216, и это гораздо дешевле.  

Но нужно понять, что вам именно нужно, потому что x86_64 не может выполнять аппаратную маршрутизацию L3 через switch chip, как в новых моделях CCR2116 и CCR2216. И снова — изучайте технические характеристики оборудования, чтобы понять, какие протоколы поддерживает switch chip.  

Для сценария ISP:  
— CGNAT не работает на switch chip,  
— BGP-протокол не работает на switch chip,  
— PPPoE-simple queues не работают на switch chip.  

В итоге все это нагружает CPU ARM-процессоров — вот чего многие не понимают.  

В то время как серверы с поддержкой многопроцессорности на x86_64 под v7 могут обрабатывать в 10 раз больше трафика по этим протоколам благодаря дополнительным ядрам с более высокой частотой. Чем выше тактовая частота, тем лучше для PPPoE-simple queues и контроля пропускной способности. Чем больше ядер в процессоре, тем лучше для CGNAT и NAT-правил. Чем выше частоты и больше ядер — тем лучше для BGP-сессий full-route, которые поднимаются быстрее по сравнению с медленными ядрами Tilera 1 GHz в CCR1036, которые уже старше десяти лет.

@PortalNET зачем бесполезно воскресать старые темы? Ты правда думаешь, что там до сих пор кто-то ждет ответа с сентября 2024 года?

Нет, пользователь всё ещё не оправился после DoS-атаки... Из-за продолжающейся атаки он не мог прочитать ответы на свой пост.