classic.ISPforum.cz

Ahoj,

koukal jsem na traffic a něco mi nesedí. RB2011, ROS 6.10, všechny porty v bridge krom WAN. Provoz na bridge (spodní) a na WAN (horní) nesedí před 12h. Koukal jsem i na grafy jednotlivých portu a nic. Nevíte čím to je? RB si stahuje něco pro sebe nebo-li nějaký útok?

může to být útok. Nemáš tam povolený DNS server z WANu?

sub_zero píše:může to být útok. Nemáš tam povolený DNS server z WANu?

Mám ve firewallu to co jsi nedávno postoval.

chain=input action=accept protocol=udp in-interface=!WAN dst-port=53
chain=input action=accept protocol=tcp in-interface=!WAN dst-port=53
chain=input action=accept protocol=udp in-interface=WAN src-port=53

není povolený ftp ?

ja teda neviem ale tie firewall rules na DNS ti toho moc neriešia ak za tým niekde nemáš drop ostatnej komunikácie

Noxus28 píše:ja teda neviem ale tie firewall rules na DNS ti toho moc neriešia ak za tým niekde nemáš drop ostatnej komunikácie

Tak to je snad logicky. Psal jsem to i v tom topicu. Máme na inputu asi 60 pravidel a poslední je drop. Takže pokud tam má jen to dns, tak samozřejmě drop.

Mas na tom RB aj simple queue pre ludi?

Samozřejmě na konci drop. FTP je zakázány. Mám simple queue pro lidi, ale to by bylo vidět na bridge interface nebo na jednotlivych portech ne?

Už som to pár krát videl, na router tečie traffic a tam ostáva. Všimni si, že vtedy jeden z tvojich klientov niečo sťahoval (dáke torenty alebo UDP bordel). Síce to oreže klientovi traffic ale až za GW. Je to čudné, stalo sa nám to asi 2-3x a nik to nevedel poriadne vysvetliť.

Je pravda, že my zažili něco podobnýho. Routovaná veřejná IP adresa uvniř naší sítě generovala asi 1Mbit provoz do internetu (tisíce malých TCP spojení) a zpět z inetu se nám z těch stejných IP valil 1Gbit UDP flood, kterej ale skončil na naší bráně a nešel až dál na tu IP adresu. Taky jsme z toho byli ze začátku vybití jak baterka. Pak se to stalo ještě asi 3x a tu IP jsme vyjmuli z BGP a nasměrovali do blackhole. Od té doby klid.

presne niečo na podobný štýl to môže byť....ono pokiaľ to nie je v stovkách MBPs človek si to ani nevšimne

Jediný co jsem dělal je, že jsem hodinu předtím připojil jedno zařízení a zapomněl přidat SQ. Ale to by bylo vidět na portu.
Dá se UDP flood nebo ten bordel nějak dropnout?

viewtopic.php?f=51&t=13896
mne to pomohlo

Díky za rady, uvidím jestli se to bude opakovat.

Dneska mi napadlo, jestli to nemohlo být tím, že jsem dělal bandwidth test? Zkoušel jsem to zbova a ANO je to tím