http://mikrotik.moscow Новое в теме Атака TCP SYN Flood вызывает высокую нагрузку на CPU форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 11 Aug 2026 21:15:16 -0400 Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Мы столкнулись с такой же высокой загрузкой ЦП на CCR и умеренным syn-флудом. В некоторых случаях нам удавалось поймать злоумышленников и отфильтровать их на уровне raw. Но в одном случае поймать их не получается: когда атакующий использует все IP из какого-то /22 для всех наших IP, при этом у каждого исходного IP низкая частота SYN-пакетов. Есть идеи, как их отловить? С уважением, Ros
02.11.2019 17:37:00, rpingar.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378431 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378431 Sat, 02 Nov 2019 17:37:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Спасибо за ваше мнение.
01.11.2019 06:12:00, Cha0s.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378430 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378430 Fri, 01 Nov 2019 06:12:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Если в CCR нет fastpath, производительность хуже, чем у X86 при схожей атаке.
01.11.2019 03:10:00, edwinlai33.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378429 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378429 Fri, 01 Nov 2019 03:10:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
FastPath требует включения кеша маршрутов. При включённом кеше маршрутов роутер становится почти полностью неотзывчивым во время любой средней по мощности SYN-флуд атаки.
01.11.2019 00:36:00, Cha0s.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378428 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378428 Fri, 01 Nov 2019 00:36:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Ты включил FastPath? Если да, то он не должен грузить процессор.
31.10.2019 07:39:00, edwinlai33.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378427 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378427 Thu, 31 Oct 2019 07:39:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Полностью согласен, много раз страдал.
19.10.2019 10:04:00, edwinlai33.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378426 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378426 Sat, 19 Oct 2019 10:04:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Прошло почти два года, а ничего не изменилось. CCR по-прежнему не могут пропускать (а не отбрасывать) умеренный поток SYN-пакетов.
16.07.2019 14:10:00, Cha0s.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378425 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378425 Tue, 16 Jul 2019 14:10:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Правда в том, что логическая операция между элементами списка не очевидна, но ответ на вопрос «какая логическая операция между значениями списка используется для этого конкретного поля?» — «та, которая полезнее». То есть, пока для dst-port=a,b (и большинства других условий совпадения) единственная логичная операция — «или» (то есть условие разворачивается в dst-port=a или dst-port=b), в случае tcp-flags=a,b полезной в большинстве случаев является операция «и» (то есть условие разворачивается в tcp-flags.a = true и tcp-flags.b = true). Если бы вы (теоретически) хотели совершить одно и то же действие для tcp-flags.syn=true или tcp-flags.rst=true, пришлось бы использовать два правила: одно с tcp-flags=syn, другое — с tcp-flags=rst. Также имейте в виду, что просто tcp-flags=syn не учитывает другие флаги, поэтому если хотите поймать пакеты, где установлен только флаг SYN, нужно использовать tcp-flags=syn,!ack,!cwr,!ece,!fin,!psh,!rst,!urg.
12.08.2018 09:02:00, sindy.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378424 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378424 Sun, 12 Aug 2018 09:02:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
то правило mangle изначально /ip firewall> mangle print  
Флаги: X - отключено, I - недействительно, D - динамическое  
0    цепочка=prerouting действие=add-src-to-address-list tcp-flags=syn,rst протокол=tcp address-list=ddos-source address-list-timeout=6h входной-интерфейс=NETIX лог=нет префикс_лога=“”  
очень похоже, что оно тут же добавляет в список кучу адресов.  
Для срабатывания нужно, чтобы оба флага syn И rst были установлены или достаточно syn ИЛИ rst?
12.08.2018 05:25:00, texmeshtexas.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378423 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378423 Sun, 12 Aug 2018 05:25:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
С помощью syncookie вы просите RouterOS выступать в роли прокси, и это немного помогает при SYN-флуд атаках. Еще один трюк, который мы добавили — это поставить в mangle несколько проверок TCP, чтобы помечать и заносить IP в черный список.

/ip firewall> mangle print  
Flags: X - отключено, I - недействительно, D - динамически  
0    chain=prerouting action=add-src-to-address-list tcp-flags=syn,rst protocol=tcp address-list=ddos-source address-list-timeout=6h in-interface=NETIX log=no log-prefix=""  

1 X  chain=prerouting action=add-src-to-address-list tcp-flags=!fin,!syn,!rst,!ack protocol=tcp address-list=ddos-source address-list-timeout=6h in-interface=NETIX log=no log-prefix=""

Можно поставить любое правило маркировки, чтобы добавить IP в список адресов. С этим можно просто сбрасывать пакеты с исходящего IP или отправлять его в черную дыру.
26.10.2017 10:09:00, berlo.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378422 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378422 Thu, 26 Oct 2017 10:09:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Почему ты не использовал tcp syn cookie? /ip settings set tcp-syncookies=yes
26.10.2017 08:58:00, Anumrak.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378421 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378421 Thu, 26 Oct 2017 08:58:00 -0400 RouterOS Атака TCP SYN Flood вызывает высокую нагрузку на CPU RouterOS в форуме RouterOS.
Сегодня на одного из моих клиентов попала атака TCP SYN Flood. Атака была не особо сильной (~150-200kpps и пару сотен Мбит/с), но умудрилась почти всё положить. У меня аплинк на 10 гбит, так что физического перегруза канала не было, и я проверил — у моего провайдера тоже никаких проблем с перегрузками не наблюдалось (то есть, атака была не объёмной). Пока FastNetMon не сработал и не заблэкхолил IP жертвы, роутер был фактически недоступен, а всё, что за ним, либо сильно тормозило, либо теряло пакеты. Winbox и SSH вообще не подключались.

Я использую сырые фильтры для no-track всего транзитного трафика. При UDP-атаках даже с 1 млн pps и 7-8 Gbps роутер не морщился — no-track работает как часы! Но вот при TCP SYN Flood роутер просто начал ломаться.

Я не включаю TCP SYN Cookies и не использую трекинг соединений. На короткое время мне удалось зайти в Winbox и я увидел, что основная нагрузка на CPU приходится на модуль «networking». Роутер — CCR1036-8G-2S+ с ROS v6.38.5 и прошивкой FW v3.33.

Кто-то ещё сталкивался с таким? Это нормально? Разве роутер не должен просто пропускать этот трафик? Почему именно SYN Flood вызвала такую нагрузку на CPU? Есть ли советы, как избежать высокого CPU при будущих SYN Flood атаках?
04.10.2017 15:35:00, Cha0s.]]> http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378420 http://mikrotik.moscow/forum/forum57/83620-ataka-tcp-syn-flood-vyzyvaet-vysokuyu-nagruzku-na-cpu/message378420 Wed, 04 Oct 2017 15:35:00 -0400 RouterOS