http://mikrotik.moscow Новое в теме Кто-нибудь знает, как ограничить количество UDP-соединений? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 19 Aug 2026 16:24:39 -0400 Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
/ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-limit=6,32 action=drop Можно ли изменить это правило, чтобы оно обрабатывало только не-http соединения? Учитывая, что у нас работает прозрачный веб-кэш, вряд ли p2p вообще сможет пройти через http. Matthew
01.05.2006 22:15:00, hci.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293827 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293827 Mon, 01 May 2006 22:15:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Как ты делаешь, но выбирай: Forward firewall filter. tcp options -any connection limit 15 all-p2p и оставь burst и count time limit значения все на 0. Это должно держать отслеживаемые p2p под контролем. Также стоит подвергнуть p2p обработке и ограничить скорость в queue tree, чтобы закончить работу.
11.04.2006 13:52:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293826 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293826 Tue, 11 Apr 2006 13:52:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Не могли бы вы, пожалуйста, немного подробнее рассказать? Ну, например, привести пример. Я уже что-то попробовал, кажется, помогает. Установил скорость сопоставления пакетов UDP-протокола на 16/сек с Burst=20. Кажется, немного помогает. Спасибо.
11.04.2006 08:02:00, simonkizi.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293825 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293825 Tue, 11 Apr 2006 08:02:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Может, стоит посмотреть в сторону MikroTik для формирования трафика. Там можно ограничить количество p2p-соединений. Попробуй 15-20.
10.04.2006 21:43:00, spire2z.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293824 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293824 Mon, 10 Apr 2006 21:43:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Окей. У нас несколько Mikrotik Highpoints, на которых AP работают как PPPoE-серверы. На интерфейсе AP нет IP-адреса. Клиенты PPPoE подключаются к вышкам через беспроводную связь. Аутентификация осуществляется через центральный RADIUS-сервер. Есть Linux-машина, балансирующая несколько ADSL-линий со скоростью 512 кбит/с в качестве шлюза и DNS-сервера. Сейчас у нас в основном проблема с некоторыми P2P-программами на стороне клиента, которые загружают и скачивают, показывая 50-100 и более UDP-записей в torch. Кажется, пропускная способность шлюза не превышает 200 UDP-пакетов, сессий или чего-то подобного в секунду. Это не о потреблении полосы пропускания, потому что каждый PPPoE-клиент ограничен 128 кбит/с максимум. Если torch показывает количество пакетов, отправленных/полученных в секунду, отображаются сотни UDP-отправлений/приёмов, как если бы это был непрерывный поток крошечных записей объёмом менее 1 КБ. Когда клиент загружает, разрешение DNS замедляется на нашей системе, так как DNS требует UDP-порт 53. Проще говоря, нам приходится десять раз обновлять Интернет Эксплорер, чтобы разрешить fqdn. Что касается загрузки процессора, то она в среднем составляет 30% на RB532, когда существует вышеописанный сценарий. Это не процессор, не полоса пропускания, а количество сессий или пакетов, отправляемых/получаемых одновременно с одного IP-адреса. В случае TCP всё хорошо, мы знаем, как легко ограничить соединения, но для UDP ограничение соединения отсутствует. Итак, я снова спрашиваю, поможет ли ограничение скорости сопоставления пакетов для протокола UDP? Или, пожалуйста, кто-нибудь, помогите нам. Спасибо.
10.04.2006 12:25:00, simonkizi.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293823 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293823 Mon, 10 Apr 2006 12:25:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Не могли бы вы рассказать подробнее о конфигурации и топологии сети? У нас скорость P2P ограничена до 512 кбит/с для каждого пользователя в сети, и мы не сталкивались с проблемами из-за большого количества UDP-соединений, вызывающих DoS. Сколько пакетов в секунду проходит через ваш локальный роутер? Загрузка ЦП роутера или какие-либо другие ресурсы доходят до максимума? И какой у вас канал связи (например, xDSL, T1, T3, оптоволокно и т.д.)?
10.04.2006 04:30:00, wildbill442.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293822 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293822 Mon, 10 Apr 2006 04:30:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Спасибо за ответ. У меня есть клиенты, которые используют P2P-программы, и когда я отслеживаю их соединения через torch, я вижу более сотни сессий или пакетов или что-то вроде этого одновременно. Когда я блокирую соответствующего клиента (клиентов), сеть снова работает быстро для всех остальных. Когда я разблокирую, то сеть или, по крайней мере, доступ в интернет становится очень медленным, почти как DoS, в основном затрагивая DNS-запросы на udp-порту 53. Очереди не помогают, так как сотня выше не суммируется до 15 кбит/с. Так что дело не в размере пакетов, а в количестве пакетов, отправляемых в секунду или в чём-то ещё. Итак, если udp не работает через соединения, возможно ли ограничить количество udp-пакетов, отправляемых клиентом через (Winbox) Firewall Filter Protocol udp(17) limit packet match rate? Если да, то какую настройку посоветуете? Спасибо тому, кто ответит. С уважением.
09.04.2006 17:17:00, simonkizi.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293821 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293821 Sun, 09 Apr 2006 17:17:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Я нашел 16 как оптимальное ограничение…
09.04.2006 14:20:00, djape.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293820 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293820 Sun, 09 Apr 2006 14:20:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Конечно, так и будет. Ты не написал, какое именно правило ты "попробовал", поэтому я предположил, что ты "попробовал" правило, ограничивающее до 5 соединений. Это ОЧЕНЬ мало. Большинство современных браузеров в фоновом режиме уже используют от 10 до 20 потоков (а некоторые даже больше), каждый из которых делает отдельные запросы для открытия веб-страниц, загрузки графики и т.д. Перед отключением — логируй. Это покажет тебе наглядно, когда / если / почему правило срабатывает, и на основании этого ты поймешь, что нужно сделать, чтобы решить возникшую проблему.
09.04.2006 12:53:00, savage.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293819 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293819 Sun, 09 Apr 2006 12:53:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Попробовал я это правило, а люди сразу начали сталкиваться с проблемами полного разрешения страницы. Есть какие-нибудь идеи?
09.04.2006 11:15:00, YappaDappa.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293818 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293818 Sun, 09 Apr 2006 11:15:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Применение этого правила к, скажем, 50 очередям, негативно скажется на стабильной скорости, необходимой для игр и стримов?
09.04.2006 05:51:00, YappaDappa.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293817 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293817 Sun, 09 Apr 2006 05:51:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
UDP — это протокол без установления соединения, так что никаких "соединений" ограничивать не нужно.
07.04.2006 14:29:00, whalen.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293816 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293816 Fri, 07 Apr 2006 14:29:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Окей, теперь-то всё понятно с ограничением TCP-соединений, а как насчёт UDP? Возможно ли это или нет? Нужен ли нам прокси-сервер, чтобы контролировать UDP? Если мы ничего не можем сделать, придётся отправлять предупреждения нашим клиентам. Спасибо.
07.04.2006 11:16:00, simonkizi.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293815 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293815 Fri, 07 Apr 2006 11:16:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Спасибо, Normis. А это тоже относится к UDP-соединениям? Потому что ограничить количество соединений для UDP нельзя. Некоторые клиенты используют P2P и открывают 20-30 UDP-сессий с каждого IP-адреса одновременно! Видно в Torch. А если я хочу разрешить больше пяти для некоторых клиентов, ну, скажем, десять или больше? Limewire — наш кошмар. До 50 или даже больше одновременных сессий. Это вызывает DoS. Ни один другой клиент не может подключиться, когда Limewire активен. Приходится прокручивать вниз в Torch, чтобы дотянуться до конца списка на 19-дюймовом мониторе, тьфу ты! С уважением.
07.04.2006 08:31:00, simonkizi.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293814 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293814 Fri, 07 Apr 2006 08:31:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Это объяснено в первом примере в руководстве: http://www.mikrotik.com/docs/ros/2.9/ip/filter. Чтобы разрешить не более 5 одновременных подключений от каждого клиента, сделайте следующее: /ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-limit=6,32 action=drop
07.04.2006 07:46:00, normis.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293813 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293813 Fri, 07 Apr 2006 07:46:00 -0400 RouterOS Кто-нибудь знает, как ограничить количество UDP-соединений? RouterOS в форуме RouterOS.
Привет! Может, кто-нибудь подскажет, как ограничить количество соединений, устанавливаемых конкретными IP-адресами или диапазонами? Это нужно для защиты от DoS-атак с одной стороны, и для ограничения количества P2P и ускоренных соединений/сессий – с другой. Требуется для TCP и UDP соединений. Ограничение скорости соответствия пакетам не особо помогло, а ограничение количества соединений не работает для UDP. Может, Mangle и Queues помогут? Пожалуйста, помогите. Спасибо!
07.04.2006 07:41:00, simonkizi.]]> http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293812 http://mikrotik.moscow/forum/forum57/72990-kto_nibud-znaet_-kak-ogranichit-kolichestvo-udp_soedineniy/message293812 Fri, 07 Apr 2006 07:41:00 -0400 RouterOS