+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Как заблокировать DNS-запрос извне?

Как заблокировать DNS-запрос извне?, RouterOS

Robinson

Guest

06.02.2013 19:18:00

У меня Rb1100AH основной роутер (pppoe концентратор), и включена опция "Allow remote requests" в DNS… У роутера статический публичный IP, у клиентов динамические публичные IP. Есть ли разумные причины блокировать DNS запросы извне и, если да, какое самое эффективное решение для этого? Я думаю про firewall filter, есть ли какой-то пример кода для 100% блокировки на основном роутере и у клиентских MT? TNX

soamz

Guest

16.12.2015 11:37:00

Я добавил вот это: /ip firewall filter add chain=input in-interface=ether8 protocol=udp dst-port=53 action=drop add chain=input in-interface=ether8 protocol=tcp dst-port=53 action=drop /ip firewall filter add chain=forward protocol=udp dst-port=53 out-interface=!ether8 action=drop add chain=forward protocol=tcp dst-port=53 out-interface=!ether8 action=drop Но когда я отключаю ether8, я все равно вижу много активных подключений на порту 53. Почему так?

jarda

Guest

16.12.2015 13:33:00

Потому что атакующий не знает, что ты установил такие правила. Как только ты перестаешь отвечать, он перестанет пытаться тебя эксплуатировать. Никто больше не будет повторять это, потому что они просто проверят тебя, а потом поищут какой-нибудь другой открытый DNS-сервер.

soamz Guest	#4 0 16.12.2015 13:39:00 Ну ладно, значит, код выше правильный, да? И я могу про него забыть? Всё в порядке, верно? И надо ли удалять последние 2 правила фильтрации?

jarda

Guest

16.12.2015 13:46:00

Проверю это завтра. По крайней мере, загрузка DNS-сервера должна сразу же снизиться. Последние два правила просто не позволяют внутренним устройствам общаться с другими внешними DNS-серверами, но они неэффективны, так как находятся ниже общего допустимого правила для исходящего трафика. Решать тебе, разрешать это или нет.

holmesm Guest	#6 0 16.12.2015 17:08:00 У тебя до сих пор разрешен сервис для TCP и UDP порта 53 в правилах фильтра в брандмауэре, согласно вышеуказанным правилам фильтра?

ojeysky

Guest

23.12.2015 12:06:00

Я применил вышеуказанную команду, но после этого мои клиенты не смогли разрешать имена, это работало только тогда, когда я исключил публичные DNS-серверы и указал свои настройки IP>DNS. Я использую свой Mikrotik как DNS-сервер для моих клиентов, это нормальное поведение? Я пока не вижу, чтобы фильтр что-то отлавливал.

BartoszP Guest	#8 0 23.12.2015 13:14:00 Блокировать или не блокировать?… Если вы предоставляете DNS с WAN-стороны для своих клиентов, то у вас открытый DNS, уязвимый для DNS DDoS.

ojeysky

Guest

23.12.2015 13:48:00

Хочу заблокировать доступ к DNS Mikrotik извне, но как только я применяю правило, указанное выше, мои локальные пользователи (за Mikrotik) не могут просматривать сайты (то есть они не могут разрешать имена, но могут пинговать). Что я делаю не так? Спасибо.

Sob

Guest

#10

23.12.2015 17:09:00

Эти правила предполагают, что ether1 — это WAN. Если ваши клиенты из локальной сети заблокированы этими правилами, значит, у вас что-то подключено к разным портам, и вам нужно заменить “ether1” на имя вашего WAN-интерфейса.

soamz Guest	#11 0 29.06.2016 03:01:00 Ты имеешь в виду, что пользователи не смогут просматривать нижние два правила, если они используют DNS от Google?

ZeroByte Guest	#12 0 29.06.2016 04:00:00 Убедись, что входящая цепочка содержит правило: Accept, connection-state=established,related, и чтобы это правило было перед любым правилом, блокирующим DNS.

soamz

Guest

#13

29.06.2016 04:08:00

@ZeroByte, у меня вот это есть. /ip firewall filter add chain=input in-interface=ether8 protocol=udp dst-port=53 action=drop add chain=input in-interface=ether8 protocol=tcp dst-port=53 action=drop /ip firewall filter add chain=forward protocol=udp dst-port=53 out-interface=!ether8 action=drop add chain=forward protocol=tcp dst-port=53 out-interface=!ether8 action=drop Можешь добавить ещё одну строку, пожалуйста? Чтобы это было сверху всех правил?

ZeroByte

Guest

#14

29.06.2016 18:26:00

Да - перед первыми двумя правилами входной цепочки, вероятно, следует заменить всю входную цепочку на следующее: /ip firewall filter add chain=input connection-state=established,related action=accept add chain=input in-interface=LAN action=accept add chain=input protocol=icmp action=accept add chain=input action=drop Если у вас несколько локальных сегментов, возможно, будет проще указать “in-interface=!WAN” для второго правила – и, конечно, LAN и WAN следует заменить на фактические названия ваших LAN/WAN интерфейсов (какую версию правила 2 вы используете).

soamz

Guest

#15

29.06.2016 18:30:00

Моя WAN - ether8, а PPPoE порт - ether3. То есть, ты имеешь в виду это?
/ip firewall filter add chain=input connection-state=established,related action=accept
add chain=input in-interface=ether3 action=accept
add chain=input protocol=icmp action=accept
add chain=input action=drop
/ip firewall filter add chain=forward protocol=udp dst-port=53 out-interface=!ether8 action=drop
add chain=forward protocol=tcp dst-port=53 out-interface=!ether8 action=drop

ZeroByte

Guest

#16

29.06.2016 18:48:00

Извини, но что это значит? WAN — это интернет-интерфейс (тот, у которого публичный IP-адрес). Так что, если ты подключаешься к интернету через PPPoE, то интерфейс pppoe-out — это WAN-интерфейс (а не физический порт, через который он проходит). Если у тебя только одно WAN-соединение, лучше всего использовать “in-interface=!pppoe1-out” в этом правиле (или как называется твое PPPoE-соединение – а не сам интерфейс). Подумай вот о какой логике: мне нужно принимать всё, что не приходит из интернета — значит, любой in-interface, отличный от WAN-интерфейса, приемлем, следовательно, правило должно принимать подключения на любом интерфейсе, который не является WAN-интерфейсом.

soamz Guest	#17 0 29.06.2016 19:06:00 В общем, ether8 — это порт, который подключен от основного роутера к этому роутеру. А ether3 — это PPPoE-порт.

ZeroByte Guest	#18 0 29.06.2016 19:14:00 Ладно, используй интерфейс в настройках, а не !pppoe-interface (не ether3, а pppoe1-out или как там он называется в твоей конфигурации).

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры