http://mikrotik.moscow Новое в теме Как заблокировать DNS-запрос извне? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 14:24:34 -0400 Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Ладно, используй интерфейс в настройках, а не !pppoe-interface (не ether3, а pppoe1-out или как там он называется в твоей конфигурации).
29.06.2016 19:14:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301078 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301078 Wed, 29 Jun 2016 19:14:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
В общем, ether8 — это порт, который подключен от основного роутера к этому роутеру. А ether3 — это PPPoE-порт.
29.06.2016 19:06:00, soamz.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301077 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301077 Wed, 29 Jun 2016 19:06:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Извини, но что это значит? WAN — это интернет-интерфейс (тот, у которого публичный IP-адрес). Так что, если ты подключаешься к интернету через PPPoE, то интерфейс pppoe-out — это WAN-интерфейс (а не физический порт, через который он проходит). Если у тебя только одно WAN-соединение, лучше всего использовать “in-interface=!pppoe1-out” в этом правиле (или как называется твое PPPoE-соединение – а не сам интерфейс). Подумай вот о какой логике: мне нужно принимать всё, что не приходит из интернета — значит, любой in-interface, отличный от WAN-интерфейса, приемлем, следовательно, правило должно принимать подключения на любом интерфейсе, который не является WAN-интерфейсом.
29.06.2016 18:48:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301076 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301076 Wed, 29 Jun 2016 18:48:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Моя WAN - ether8, а PPPoE порт - ether3. То есть, ты имеешь в виду это?
/ip firewall filter add chain=input connection-state=established,related action=accept
add chain=input in-interface=ether3 action=accept
add chain=input protocol=icmp action=accept
add chain=input action=drop
/ip firewall filter add chain=forward protocol=udp dst-port=53 out-interface=!ether8 action=drop
add chain=forward protocol=tcp dst-port=53 out-interface=!ether8 action=drop
29.06.2016 18:30:00, soamz.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301075 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301075 Wed, 29 Jun 2016 18:30:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Да - перед первыми двумя правилами входной цепочки, вероятно, следует заменить всю входную цепочку на следующее: /ip firewall filter add chain=input connection-state=established,related action=accept add chain=input in-interface=LAN action=accept add chain=input protocol=icmp action=accept add chain=input action=drop Если у вас несколько локальных сегментов, возможно, будет проще указать “in-interface=!WAN” для второго правила – и, конечно, LAN и WAN следует заменить на фактические названия ваших LAN/WAN интерфейсов (какую версию правила 2 вы используете).
29.06.2016 18:26:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301074 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301074 Wed, 29 Jun 2016 18:26:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
@ZeroByte, у меня вот это есть. /ip firewall filter add chain=input in-interface=ether8 protocol=udp dst-port=53 action=drop add chain=input in-interface=ether8 protocol=tcp dst-port=53 action=drop /ip firewall filter add chain=forward protocol=udp dst-port=53 out-interface=!ether8 action=drop add chain=forward protocol=tcp dst-port=53 out-interface=!ether8 action=drop Можешь добавить ещё одну строку, пожалуйста? Чтобы это было сверху всех правил?
29.06.2016 04:08:00, soamz.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301073 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301073 Wed, 29 Jun 2016 04:08:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Убедись, что входящая цепочка содержит правило: Accept, connection-state=established,related, и чтобы это правило было перед любым правилом, блокирующим DNS.
29.06.2016 04:00:00, ZeroByte.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301072 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301072 Wed, 29 Jun 2016 04:00:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Ты имеешь в виду, что пользователи не смогут просматривать нижние два правила, если они используют DNS от Google?
29.06.2016 03:01:00, soamz.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301071 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301071 Wed, 29 Jun 2016 03:01:00 -0400 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Эти правила предполагают, что ether1 — это WAN. Если ваши клиенты из локальной сети заблокированы этими правилами, значит, у вас что-то подключено к разным портам, и вам нужно заменить “ether1” на имя вашего WAN-интерфейса.
23.12.2015 17:09:00, Sob.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301070 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301070 Wed, 23 Dec 2015 17:09:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Хочу заблокировать доступ к DNS Mikrotik извне, но как только я применяю правило, указанное выше, мои локальные пользователи (за Mikrotik) не могут просматривать сайты (то есть они не могут разрешать имена, но могут пинговать). Что я делаю не так? Спасибо.
23.12.2015 13:48:00, ojeysky.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301069 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301069 Wed, 23 Dec 2015 13:48:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Блокировать или не блокировать?… Если вы предоставляете DNS с WAN-стороны для своих клиентов, то у вас открытый DNS, уязвимый для DNS DDoS.
23.12.2015 13:14:00, BartoszP.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301068 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301068 Wed, 23 Dec 2015 13:14:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Я применил вышеуказанную команду, но после этого мои клиенты не смогли разрешать имена, это работало только тогда, когда я исключил публичные DNS-серверы и указал свои настройки IP>DNS. Я использую свой Mikrotik как DNS-сервер для моих клиентов, это нормальное поведение? Я пока не вижу, чтобы фильтр что-то отлавливал.
23.12.2015 12:06:00, ojeysky.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301067 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301067 Wed, 23 Dec 2015 12:06:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
У тебя до сих пор разрешен сервис для TCP и UDP порта 53 в правилах фильтра в брандмауэре, согласно вышеуказанным правилам фильтра?
16.12.2015 17:08:00, holmesm.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301066 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301066 Wed, 16 Dec 2015 17:08:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Проверю это завтра. По крайней мере, загрузка DNS-сервера должна сразу же снизиться. Последние два правила просто не позволяют внутренним устройствам общаться с другими внешними DNS-серверами, но они неэффективны, так как находятся ниже общего допустимого правила для исходящего трафика. Решать тебе, разрешать это или нет.
16.12.2015 13:46:00, jarda.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301065 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301065 Wed, 16 Dec 2015 13:46:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Ну ладно, значит, код выше правильный, да? И я могу про него забыть? Всё в порядке, верно? И надо ли удалять последние 2 правила фильтрации?
16.12.2015 13:39:00, soamz.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301064 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301064 Wed, 16 Dec 2015 13:39:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Потому что атакующий не знает, что ты установил такие правила. Как только ты перестаешь отвечать, он перестанет пытаться тебя эксплуатировать. Никто больше не будет повторять это, потому что они просто проверят тебя, а потом поищут какой-нибудь другой открытый DNS-сервер.
16.12.2015 13:33:00, jarda.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301063 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301063 Wed, 16 Dec 2015 13:33:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
Я добавил вот это: /ip firewall filter add chain=input in-interface=ether8 protocol=udp dst-port=53 action=drop add chain=input in-interface=ether8 protocol=tcp dst-port=53 action=drop /ip firewall filter add chain=forward protocol=udp dst-port=53 out-interface=!ether8 action=drop add chain=forward protocol=tcp dst-port=53 out-interface=!ether8 action=drop Но когда я отключаю ether8, я все равно вижу много активных подключений на порту 53. Почему так?
16.12.2015 11:37:00, soamz.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301062 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301062 Wed, 16 Dec 2015 11:37:00 -0500 RouterOS Как заблокировать DNS-запрос извне? RouterOS в форуме RouterOS.
У меня Rb1100AH основной роутер (pppoe концентратор), и включена опция "Allow remote requests" в DNS… У роутера статический публичный IP, у клиентов динамические публичные IP. Есть ли разумные причины блокировать DNS запросы извне и, если да, какое самое эффективное решение для этого? Я думаю про firewall filter, есть ли какой-то пример кода для 100% блокировки на основном роутере и у клиентских MT? TNX
06.02.2013 19:18:00, Robinson.]]> http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301061 http://mikrotik.moscow/forum/forum57/74348-kak-zablokirovat-dns_zapros-izvne/message301061 Wed, 06 Feb 2013 19:18:00 -0500 RouterOS