http://mikrotik.moscow Новое в теме 72 ядра CCR форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 10:43:40 -0400 72 ядра CCR RouterOS в форуме RouterOS.
Я бы полностью убрал все правила файрвола и отключил отслеживание соединений, так как это автоматически включит Fastpath на роутере (можно проверить в IP => Settings). Пусть Wanguard определяет DDoS-трафик и отправляет для этих адресов blackhole-маршруты на ваш роутер. В наших тестах я заметил, что правила DDoS на Mikrotik только усугубляют ситуацию, когда на роутер идут большие DDoS с высоким числом пакетов в секунду. В нашей лаборатории я смог вывести из строя Mikrotik с такими правилами, используя всего три Linux-машины с 10Gb-интерфейсами, запускавшие hping3 и бившие по цели за Mikrotik. Но в режиме Fastpath такой трафик обрабатывается без проблем.
11.11.2016 00:02:00, Murmaider.]]> http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404466 http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404466 Fri, 11 Nov 2016 00:02:00 -0500 RouterOS 72 ядра CCR RouterOS в форуме RouterOS.
Хорошо, производительность, которую вы получаете, полностью соответствует тому, что рекламирует Mikrotik. Зайдите сюда https://routerboard.com/CCR1072-1G-8Splus и прокрутите вниз до раздела Ethernet Test Results. Маршрутизация с 25 правилами IP-фильтра, с пакетами по 64 байта (а именно такими обычно бьют в DDoS), даст максимум 3 Гбит/с. Без каких-либо правил файрвола — до 44 Гбит/с.

Это вполне логично. С правилами файрвола каждый пакет приходится проверять на каждое правило в цепочке, пока не сработает условие. Например, если у вас 25 правил, и 24-е правило — «Принять трафик на этот диапазон IP», то каждый пакет сначала проверяется по первым 23 правилам, прежде чем дойдёт до 24-го совпадающего. Это может тормозить трафик и создавать нагрузку на CCR, особенно при DDoS с высокой скоростью пакетов.

Как правило, я стараюсь не маршрутизировать на файрволах и не делать файрвол на роутерах. Лучше настроить ваш CCR как обычный роутер в fastpath без правил файрвола, а на свитче настроить mirror-порт, который будет копировать трафик на Linux-сервер с Wanguard. Wanguard обнаружит DDoS за меньше чем 5 секунд и сможет выполнить нужное действие (например, объявить через BGP /32 IP, на который идет атака, чтобы его заблокировать. Или вызвать Mikrotik API и добавить маршрут с blackhole для атакуемого /32 IP или исходных IP-адресов нападающих).

Также можно разбить сеть на сегменты и поставить файрволы на каждом из них. Тогда DDoS повлияет только на один атакуемый сегмент, а остальные будут работать, и ваш CCR останется в строю.
10.11.2016 07:59:00, Murmaider.]]> http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404465 http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404465 Thu, 10 Nov 2016 07:59:00 -0500 RouterOS 72 ядра CCR RouterOS в форуме RouterOS.
Да, у меня есть другие правила файрвола, но они только блокируют порты и список доступа. А как настроить быстротрассировку соединения? Я также спрошу у моего провайдера информацию по BGP.
09.11.2016 20:16:00, SKYNET360.]]> http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404464 http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404464 Wed, 09 Nov 2016 20:16:00 -0500 RouterOS 72 ядра CCR RouterOS в форуме RouterOS.
Какие еще правила фаервола у вас настроены и используете ли вы fasttracking для соединений? Попросите у своего провайдера BGP blackhole community и примените его, чтобы заблокировать DDoS-атаку.
09.11.2016 08:47:00, Murmaider.]]> http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404463 http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404463 Wed, 09 Nov 2016 08:47:00 -0500 RouterOS 72 ядра CCR RouterOS в форуме RouterOS.
На мой новый 72-ядерный CCR идёт DDoS-атака. Я уже внедрил правило ниже, но роутер всё равно умирает. У меня магистраль 10G, и когда атака достигает 3 гигабит, устройство падает. К тому же, когда звоню своему провайдеру, по факту 10 гигабит не достигается. Есть идеи, что делать? Или просто купить роутер получше?

/ip firewall filter
add chain=forward connection-state=new action=jump jump-target=block-ddos
add chain=forward connection-state=new src-address-list=ddoser dst-address-list=ddosed action=drop
add chain=block-ddos dst-limit=50,50,src-and-dst-addresses/10s action=return
add chain=block-ddos action=add-dst-to-address-list address-list=ddosed address-list-timeout=10m
add chain=block-ddos action=add-src-to-address-list address-list=ddoser address-list-timeout=10m
08.11.2016 20:40:00, SKYNET360.]]> http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404462 http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404462 Tue, 08 Nov 2016 20:40:00 -0500 RouterOS 72 ядра CCR RouterOS в форуме RouterOS.
Спасибо, попробую. У меня примерно 60 правил для брандмауэра, стоит ли оставить только правила для DDoser и DDosed?
10.11.2016 18:23:00, SKYNET360.]]> http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404461 http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404461 Thu, 10 Nov 2016 18:23:00 -0500 RouterOS 72 ядра CCR RouterOS в форуме RouterOS.
Привет! Есть какие-нибудь новости по дате выхода 72 Core CCR и сколько интерфейсов 10Gb/s будет работать на полной скорости? Спасибо, Тони.
05.06.2015 08:37:00, NodeMax.]]> http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404460 http://mikrotik.moscow/forum/forum57/86230-72-yadra-ccr/message404460 Fri, 05 Jun 2015 08:37:00 -0400 RouterOS