Mikrotik.moscow [тема: ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?]

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Tue, 23 Feb 2016 11:44:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Действительно, когда я создаю правила в файрволе для ведения логов, я вижу, что ARP-пакеты приходят на роутер с неизвестным назначением и мак-адресом 00:00:00:00:00:00. Даже если я ставлю второй роутер в цепочку с снифером, я ловлю пакеты, адресованные 00:00:00:00:00, которые отправляет первый роутер. Я даже думаю, что это какой-то сервис или приложение на вашем самом Mikrotik, которое генерирует эти запросы. Наверняка баг. Извините, мой английский плохой.
23.02.2016 11:44:00, cobausque.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 22:45:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Я вовсе не хотел быть грубым… или, по крайней мере, не собирался таким казаться. И, если честно, считаю, что твоя ситуация определённо относится к категории «глюков».
22.02.2016 22:45:00, ZeroByte.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 22:24:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Не будь таким грубым, кто знает, может кто-то молча читает этот пост и смеётся Думаю, нам стоит дождаться официального решения от команды MikroTik, может, мы что-то важное упускаем, и это вовсе не ошибка, а фишка. Так ведь, MikroTik?
22.02.2016 22:24:00, rememberme.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 22:04:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Да, я это заметил и добавил маленькое примечание EDIT, что обратил на это внимание. (упс) Я сам использовал proxy arp и interface-hops в довольно интересных схемах… Но сомневаюсь, что большинство участников этой темы в такой же ситуации… Почти наверняка это из-за какого-то устройства, которое запускает ping sweep или порт-скан сети (что либо должно быть заблокировано, либо допущено), и/или нестандартной маршрутизации, из-за которой происходит много ARP-запросов, а использование host-address-forwarding могло бы это исправить.
22.02.2016 22:04:00, ZeroByte.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 20:45:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Спасибо, @rememberme. Как многие неправильно говорят: «всё нормально, не волнуйся» или даже «просто отфильтруй это», я пока не видел, чтобы слишком большой ARP-таблицы роутера становилась проблемой.
22.02.2016 20:45:00, CoMMyz.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 20:21:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
@ZeroByte, ты и прав, и нет Дело в том, что если использовать интерфейс как следующий хоп вместо IP-адреса, роутер попытается определить MAC-адрес шлюза, чтобы создать ARP-запись и переслать пакет, как это предусмотрено в Ethernet. Но если на другой стороне канала включён proxy-arp, все ARP-записи будут разрешаться в один MAC — proxied. В нашем же случае так не происходит, ты видишь записи INCOMPLETE (нули), но пакеты всё равно идут дальше. С другой стороны, эту проблему можно воспроизвести, если настроить MPLS и пересылать трафик по LSP. Как ты знаешь, LSP — это не широковещательный домен, и они не смогут тебе ответить на ARP… После того как MikroTik ввели команду “*) arp - show incomplete ARP entries;” в ROS v6.33.5, у меня случилось переполнение таблицы ARP. Можно увеличить максимум записей как временное решение, но это не выход.
22.02.2016 20:21:00, rememberme.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 20:02:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
@zerobyte Спасибо за объяснение. Обратите внимание, что эта подсеть (/24) имеет динамический маршрут, так как он объявлен на интерфейсе WAN. У меня с вашей стороны ARP включён на интерфейсе. MikroTik автоматически добавляет этот динамический маршрут — что мне делать?
22.02.2016 20:02:00, CoMMyz.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 19:09:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Если в вашем ARP-кэше видны публичные IP-адреса, это потому, что какой бы ни был у вас маршрут по умолчанию (default GW), он использует интерфейс как следующий хоп, а не IP-адрес маршрутизатора по умолчанию. Это заставляет ваш Mikrotik делать ARP-запросы по IP-адресу прямо на интерфейсе. К счастью для вас, ваш провайдер настроен на proxy-arp, иначе вы бы вообще не выходили в интернет.

ПРОЧИТАЙТЕ: На самом деле, интерфейс, на который вы направили маршрут по умолчанию, НЕ отвечает на ARP (иначе вы не видели бы сплошные нули).
22.02.2016 19:09:00, ZeroByte.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 22 Feb 2016 18:59:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Есть какие новости? У меня такая же проблема…
22.02.2016 18:59:00, cobausque.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Tue, 16 Feb 2016 22:11:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Именно это я и пытался объяснить, но, похоже, некоторые люди просто не понимают, что огромная таблица ARP никому не помогает.
16.02.2016 22:11:00, CoMMyz.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Tue, 16 Feb 2016 21:00:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
У меня такая же проблема на CCR1009-8G-1S-1S+ с RouterOS v6.34.1. Я вижу много ARP-записей, относящихся к IP-адресам из интернета. Вчера появилось много сообщений в логах о том, что достигнут максимальный размер таблицы ARP, и её нужно увеличить. ARP-bug.png Единственная подсеть на ether6 — 172.16.4.104/29.
16.02.2016 21:00:00, rememberme.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Tue, 16 Feb 2016 16:34:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Всем привет! У меня тоже возникает странное поведение с адресами, которые не входят в локальные подсети, и IP-адреса должны передаваться через шлюз по умолчанию. Думаю, важно отметить, что решение о маршрутизации по источнику принимается с помощью Mangle таблиц и правил маршрутизации. Единственный пока найденный обход — это установить ARP в режим «только ответ» и задать статический MAC-адрес для шлюза на этом интерфейсе. Тем не менее, наблюдаются интересные особенности работы ARP на других интерфейсах, как показано на картинке.
16.02.2016 16:34:00, ghitone.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Wed, 10 Feb 2016 16:48:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Отображать или нет — они всё равно находятся в "голове" роутера. Если ты действительно невыносимо не хочешь их видеть, просто используй фильтр вверху окна списка ARP — arpfilter.png.
10.02.2016 16:48:00, ZeroByte.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Wed, 10 Feb 2016 16:42:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Записи ARP при этом не истекают. Однажды у меня было 10 тысяч записей из-за того, что сканировали большую подсеть... Сделайте хотя бы опцию, чтобы их не показывать!
10.02.2016 16:42:00, CoMMyz.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Wed, 10 Feb 2016 16:35:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Это не проблема. Просто это отражает факт, что маршрутизатор пытался выполнить ARP-запросы для этих IP-адресов, но не получил ответов. Cisco тоже так делает — просто показывает значение «incomplete».
R1#show ip arp f0/1
Protocol Address Age (min) Hardware Addr Type Interface
Internet 172.16.19.10 1 000c.2934.3e46 ARPA FastEthernet0/1
Internet 172.16.19.1 - ca01.3f78.0006 ARPA FastEthernet0/1
Internet 172.16.19.21 0 Incomplete ARPA <----------------------------- здесь
Internet 172.16.19.100 12 000c.29fa.156b ARPA FastEthernet0/1

Это всегда происходило в фоне — просто раньше вы этого не замечали. В этом нет ничего страшного, так что не паникуйте.
10.02.2016 16:35:00, ZeroByte.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Tue, 09 Feb 2016 17:11:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Привет, у меня такая же проблема. Когда пингуешь IP, который недействителен, роутер добавляет в ARP-таблицу запись с нулями 00 00 00 00 00 00. Ручное удаление этой записи не помогает – она автоматически появляется снова и никогда не исчезает. Только после перезагрузки она исчезает, но если кто-то снова попробует обратиться к недействительным IP, запись появится снова. Использую CCR 1009 с версией 6.34. Похоже, это проблема последних версий. У кого-нибудь есть решение? Спасибо!
09.02.2016 17:11:00, CoMMyz.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 08 Feb 2016 12:59:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
Я тоже столкнулся с этой проблемой, когда обновлял Router OS до версии 6.33.5, и тогда она появилась на моём CCR 1009. После отката на 6.33 всё вроде стало нормально. После новых релизов 6.34.1, когда я снова пытался обновить свой RB1100AHx2, столкнулся с той же проблемой и вернулся обратно на 6.33. Похоже, в новых версиях есть баг. Надеюсь, Mikrotik решит это как можно скорее. 2016-02-08.png
08.02.2016 12:59:00, mdahkhan.

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac?

Mon, 18 Jan 2016 17:09:00 -0500

ПОМОГИТЕ!!!!! Как защитить роутер от автоматической генерации Mac? RouterOS в форуме RouterOS.
В моём роутере автоматически генерируется MAC-адрес. Нужна помощь на форуме. Пожалуйста, посмотрите изображение. Автоматически появляются MAC-адреса 00:00:00:00:00:00 на нескольких IP-адресах, которыми я не пользуюсь. Требуется срочное решение. 000.jpg
18.01.2016 17:09:00, aguntukk.