+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Почему DNS-серверы стучатся в порт 5678 на интерфейсе pppoe-out1?

Почему DNS-серверы стучатся в порт 5678 на интерфейсе pppoe-out1?, RouterOS

TMS1

Guest

12.06.2024 16:11:00

Привет, MikroTikers! Я заметил, что DNS-серверы каким-то образом стучатся в порт Neighbor Discovery (5678, UDP) моего MikroTik. Эти пакеты блокируются фильтром моего файрвола.
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 193.110.56.8:53->91.xxx.yyy.zzz:5678, len 80
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 159.148.147.229:30000->91.xxx.yyy.zzz:5678, len 60
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 193.110.56.8:53->91.xxx.yyy.zzz:5678, len 80
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 8.8.8.8:53->91.xxx.yyy.zzz:5678, len 80
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 193.110.56.8:53->91.xxx.yyy.zzz:5678, len 80
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 193.110.57.4:53->91.xxx.yyy.zzz:5678, len 80
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 159.148.147.229:30000->91.xxx.yyy.zzz:5678, len 60
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 1.0.0.2:53->91.xxx.yyy.zzz:5678, len 80
in:pppoe-out1 out:(unknown 0), connection-state:new src-mac 00:25:90:xx:yy:zz, proto UDP, 1.1.1.2:53->91.xxx.yyy.zzz:5678, len 80

Neighbor discovery отключён, функция detect-internet включена на всех интерфейсах. Странно, что SRC-MAC одинаковый во всех случаях и принадлежит Super Micro Computer, Inc. На моей локалке я такой MAC-адрес не нашёл. Есть идеи, зачем они пытаются подключиться?

Обновление: если я выключаю detect-internet, входящие пакеты пропадают. Вопрос остаётся — почему DNS-серверы хотят соединиться с моего порта 5678, когда detect-internet активен, через их порт 53 UDP?

Обновление 2: я разобрался, как использовать списки, создаваемые detect-internet.
# Detect Internet — это инструмент, который классифицирует отслеживаемые интерфейсы по следующим состояниям — Internet, WAN, LAN, unknown и no-link.
# Обнаруженные интерфейсы появляются в /interface/list/member/print
/interface/detect-internet/set detect-interface-list=all
/interface list add name=AUTODETECTED_INTERNET comment="INTERNET состояние, назначенное detect-internet автоматически"
/interface/detect-internet/set internet-interface-list=AUTODETECTED_INTERNET
/interface list add name=AUTODETECTED_LAN comment="LAN состояние, назначенное detect-internet автоматически"
/interface/detect-internet/set lan-interface-list=AUTODETECTED_LAN
/interface list add name=AUTODETECTED_WAN comment="WAN состояние, назначенное detect-internet автоматически"
/interface/detect-internet/set wan-interface-list=AUTODETECTED_WAN

Кто-нибудь может рассказать реальные сценарии использования detect-internet? (в справке толком ничего об этом нет) Стоит ли включать detect-internet?

gbtest85

Guest

09.11.2024 14:52:00

Я добавил правило, чтобы принимать всё от моих DNS, затем сделал захват трафика:
chain=input action=accept connection-state="" src-address-list=DNSmikrotik log=yes log-prefix="accept DNSmiktorik"
/tool sniffer set file-limit=10000KiB file-name=DNSpxniff3.pcap filter-cpu="" filter-direction=any filter-dst-ip-address="" filter-dst-ipv6-address="" filter-dst-mac-address="" filter-dst-port="" filter-interface="" filter-ip-address=8.8.8.8/32,1.1.1.1/32,9.9.9.9/32 filter-ip-protocol="" filter-ipv6-address="" filter-mac-address="" filter-mac-protocol="" filter-operator-between-entries=or filter-port="" filter-src-ip-address="" filter-src-ipv6-address="" filter-src-mac-address="" filter-src-port="" filter-stream=no filter-vlan="" memory-limit=10000KiB memory-scroll=yes only-headers=no streaming-enabled=yes streaming-server=10.10.10.56:37008)

Мои DNS — 8.8.8.8, 1.1.1.1 и 9.9.9.9.
Похоже, что функция определения интернета делает запрос к cloud.mikrotik.com.
По результатам на приложенном скриншоте и по отслеживанию одного DNS ID через захват видно, что запрос и ответ сохраняют одинаковый ID, а остальные запросы — просто пара запрос-ответ, которые длятся несколько секунд, тогда как эти запросы идут минуты.
В какой-то момент порт закрывается, и маршрутизатор отвечает ICMP-сообщением "Destination unreachable".
Хотя я не эксперт!

anav Guest	#3 0 09.11.2024 17:34:00 Похоже на хорошую причину выключить это... Может, нужно для BTH? В любом случае, если хакер может перехватить твой трафик и выдавать себя за сервер mt cloud, возможно, этот ВЕКТОР лучше закрыть.

gbtest85 Guest	#4 0 09.11.2024 17:41:00 Не использую для BTH, так что отключил. Спасибо.

gbtest85

Guest

09.11.2024 12:57:00

Привет! Сегодня заметил такое же поведение. 1.1.1.1 и 8.8.8.8, мои текущие DNS, пытаются установить новое UDP-соединение на порт 5678. Это происходит ровно каждые 2 минуты, то есть 120 секунд. У меня включена опция «detect internet», поскольку она используется приложением Mikrotik Pro для отображения скорости интернета и деталей соединений, как показано на приложении, которое прикрепляю. Проблема в том, что моя текущая конфигурация файрвола ОТКЛОНЯЕТ входящие новые соединения. Как думаешь, стоит ли создать правило, которое будет принимать такие соединения только с адресов DNS? Спасибо! Джорджио

sindy Guest	#6 0 09.11.2024 13:13:00 Судя по тому, что вы наблюдаете, я бы предположил, что detect internet отправляет DNS-запросы, которые используются для обнаружения, напрямую с интерфейса PPPoE, обходя правила файрвола, тогда как ответы от DNS-серверов всё же проходят через файрвол; поскольку трекинг соединений не видел эти запросы, он воспринимает ответы как начальные пакеты входящих соединений. Прослушивание Ethernet-интерфейса, поверх которого работает PPPoE, с последующим анализом результата в Wireshark подтвердит или опровергнет это предположение.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры