http://mikrotik.moscow Новое в теме Удалённый хост сканирует нашу сеть IPv6 форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 20:27:03 -0400 Удалённый хост сканирует нашу сеть IPv6 RouterOS в форуме RouterOS.
Но, конечно, это вряд ли вызовет проблему. Особенно с таким адресом. Проблема возникает только тогда, когда за роутером, который не фильтрует трафик, находятся большие подсети (/64). Обычно хостинг располагается в небольших подсетях (/112), и часто на роутере стоит фаервол, который пропускает трафик только на несколько нужных портов и только на определённые адреса. Когда видишь адреса вроде ::2, это говорит о том, что администратор действительно подумал об этом.
31.03.2018 16:47:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417665 http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417665 Sat, 31 Mar 2018 16:47:00 -0400 RouterOS Удалённый хост сканирует нашу сеть IPv6 RouterOS в форуме RouterOS.
Только что получил ответ: Привет, Марек! Мы добавили твой префикс […] в наш черный список. Мы распределяем запросы максимально равномерно по маршрутизированным префиксам и случайным образом меняем цели внутри каждого префикса. С уважением, команда 6Gen. Если они действительно равномерно распределяют трафик по маршрутизированным префиксам, значит, чтобы получать такое количество пакетов, они сканируют Интернет примерно на скорости 20-40 миллионов пакетов в секунду. «mikrotik.com имеет IPv6-адрес 2a02:610:7501:1000::2». Вопрос времени, когда исследователи доберутся до него...
31.03.2018 16:39:00, maznu.]]> http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417664 http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417664 Sat, 31 Mar 2018 16:39:00 -0400 RouterOS Удалённый хост сканирует нашу сеть IPv6 RouterOS в форуме RouterOS.
Похоже, что MikroTik нужна политика ND, как у всех остальных, внедрённая ещё в 2012 году или раньше. Но это всё равно будет считаться работой над функциями IPv6, а мы знаем, насколько это маловероятно в MikroTik. Возможно, нужен CVE с высокой степенью серьёзности, чтобы привлечь внимание MikroTik и эффективно решить эту проблему. Либо поступайте, как я — наращивайте влияние в сообществе и перестаньте покупать новое оборудование MikroTik, пока они не начнут серьёзно относиться к IPv6.
31.03.2018 16:13:00, idlemind.]]> http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417663 http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417663 Sat, 31 Mar 2018 16:13:00 -0400 RouterOS Удалённый хост сканирует нашу сеть IPv6 RouterOS в форуме RouterOS.
Эти «исследователи» — самые худшие. С хакером или сканером (те ребята, что ведут список доступных адресов/портов для взломщиков) по крайней мере понятно, что они делают это, чтобы нанести (косвенный) ущерб. А вот эти «исследователи» утверждают, что делают это ради благой цели, хотя при этом причиняют тот же самый вред. Мне кажется, что уже сам факт начала такого рода исследований автоматически снимает с них звание достойных учёных. Настоящий учёный сначала бы изучил ситуацию, определил цель исследования и выяснил возможные нежелательные последствия, только потом приступал к делу.
31.03.2018 15:50:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417662 http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417662 Sat, 31 Mar 2018 15:50:00 -0400 RouterOS Удалённый хост сканирует нашу сеть IPv6 RouterOS в форуме RouterOS.
Пока я писал письмо их отделу по борьбе с сетевыми нарушениями и троллил их в Твиттере, они уже проверили около 150 тысяч адресов. Веселая жизнь.
31.03.2018 09:48:00, maznu.]]> http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417661 http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417661 Sat, 31 Mar 2018 09:48:00 -0400 RouterOS Удалённый хост сканирует нашу сеть IPv6 RouterOS в форуме RouterOS.
Ещё один кандидат в наш чёрный список сканирования IPv6-адресов: add address=2607:f140:4800::/48 list=shitpit. Судя по всему, это делает один из авторов этой статьи (или кто-то из их группы) из Университета Беркли: https://conferences.sigcomm.org/imc/2017/papers/imc17-final245.pdf.

Они проводят своего рода перечислительное сканирование IPv6-пространства в глубину, из-за чего с их стороны идёт около 100 пакетов в секунду IPv6-трафика. Вскоре это заполняет кэш соседей на небольшом устройстве (даже если его размер выставлен выше 100 тысяч записей), и совсем скоро ваше устройство теряет связь (звучит сигнал тревоги от Nagios).

Я уже связался с abuse-адресом и зарегистрированным адресом в WHOIS, написал одному из исследователей в Твиттере и предложил добавить в раздел 4 их статьи «этические соображения» — чтобы они подумали о возможном влиянии на целевые сети.

Тем временем, может ли MikroTik что-то сделать в RouterOS, чтобы облегчить очистку «ошибочных» или «noarp»-записей в IPv6-кэше соседей? Или хотя бы дать возможность установить более короткий таймаут для неудачных записей по сравнению с успешными?
31.03.2018 09:47:00, maznu.]]> http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417660 http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417660 Sat, 31 Mar 2018 09:47:00 -0400 RouterOS Удалённый хост сканирует нашу сеть IPv6 RouterOS в форуме RouterOS.
Несколько дней назад у одного из наших роутеров происходило исчерпание кэша соседей IPv6. Симптомы — периодическая недоступность по IPv6. Я запустил Torch и обнаружил, что кто-то реально сканирует нашу сеть, перебирая подряд адреса в /64, чтобы проверить, кто ответит! Отбрасывать такой трафик просто, но помните: поскольку это атака на исчерпание кэша соседей, защититься обычным фильтром /ipv6 firewall для forward не получится. Нужно что-то вроде такого:

/ipv6 firewall raw add action=drop chain=prerouting src-address-list=shitpit  
/ipv6 firewall address-list add list=shitpit address=2001:0db8:85a3:0000:0000:8a2e:0370:7334

Надеюсь, кому-то это поможет при столкновении с этим довольно бесполезным сканированием.
20.09.2017 15:26:00, maznu.]]> http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417659 http://mikrotik.moscow/forum/forum57/87507-udalyennyy-khost-skaniruet-nashu-set-ipv6/message417659 Wed, 20 Sep 2017 15:26:00 -0400 RouterOS