Divný traffic

[ssnakess]

Ahoj,

koukal jsem na traffic a něco mi nesedí. RB2011, ROS 6.10, všechny porty v bridge krom WAN. Provoz na bridge (spodní) a na WAN (horní) nesedí před 12h. Koukal jsem i na grafy jednotlivých portu a nic. Nevíte čím to je? RB si stahuje něco pro sebe nebo-li nějaký útok?

[sub_zero]

může to být útok. Nemáš tam povolený DNS server z WANu?

[ssnakess]

může to být útok. Nemáš tam povolený DNS server z WANu?

Mám ve firewallu to co jsi nedávno postoval.

chain=input action=accept protocol=udp in-interface=!WAN dst-port=53
chain=input action=accept protocol=tcp in-interface=!WAN dst-port=53
chain=input action=accept protocol=udp in-interface=WAN src-port=53

[shooter]

není povolený ftp ?

[Noxus28]

ja teda neviem ale tie firewall rules na DNS ti toho moc neriešia ak za tým niekde nemáš drop ostatnej komunikácie

[sub_zero]

ja teda neviem ale tie firewall rules na DNS ti toho moc neriešia ak za tým niekde nemáš drop ostatnej komunikácie

Tak to je snad logicky. Psal jsem to i v tom topicu. Máme na inputu asi 60 pravidel a poslední je drop. Takže pokud tam má jen to dns, tak samozřejmě drop.

[midnight_man]

Mas na tom RB aj simple queue pre ludi?

[ssnakess]

Samozřejmě na konci drop. FTP je zakázány. Mám simple queue pro lidi, ale to by bylo vidět na bridge interface nebo na jednotlivych portech ne?

[midnight_man]

Už som to pár krát videl, na router tečie traffic a tam ostáva. Všimni si, že vtedy jeden z tvojich klientov niečo sťahoval (dáke torenty alebo UDP bordel). Síce to oreže klientovi traffic ale až za GW. Je to čudné, stalo sa nám to asi 2-3x a nik to nevedel poriadne vysvetliť.

[sub_zero]

Je pravda, že my zažili něco podobnýho. Routovaná veřejná IP adresa uvniř naší sítě generovala asi 1Mbit provoz do internetu (tisíce malých TCP spojení) a zpět z inetu se nám z těch stejných IP valil 1Gbit UDP flood, kterej ale skončil na naší bráně a nešel až dál na tu IP adresu. Taky jsme z toho byli ze začátku vybití jak baterka. Pak se to stalo ještě asi 3x a tu IP jsme vyjmuli z BGP a nasměrovali do blackhole. Od té doby klid.

[midnight_man]

presne niečo na podobný štýl to môže byť....ono pokiaľ to nie je v stovkách MBPs človek si to ani nevšimne

[ssnakess]

Jediný co jsem dělal je, že jsem hodinu předtím připojil jedno zařízení a zapomněl přidat SQ. Ale to by bylo vidět na portu.
Dá se UDP flood nebo ten bordel nějak dropnout?

[marc7]

viewtopic.php?f=51&t=13896
mne to pomohlo

[ssnakess]

Díky za rady, uvidím jestli se to bude opakovat.

[ssnakess]

Dneska mi napadlo, jestli to nemohlo být tím, že jsem dělal bandwidth test? Zkoušel jsem to zbova a ANO je to tím