http://mikrotik.moscow Новое в теме Пакетов DDOS в секунду, с которыми может справиться MT. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 10 Aug 2026 16:55:01 -0400 Пакетов DDOS в секунду, с которыми может справиться MT. RouterOS в форуме RouterOS.
Спасибо за ответ. У нас нет файрвола, и вся логика, кроме системной, сейчас отключена. Мы не используем очереди, кроме каких-то стандартных, которые есть по умолчанию. NAT мы тоже не используем. Мы не используем его как файрвол, только как шлюз и пограничный роутер с BGP. Могли бы вы рассказать подробнее об этом? Где оно находится? Как это отключить? 2.9.x лучше/быстрее, чем 2.8.x? Поможет ли обновление в любом случае, учитывая, что мы используем стандартный BGP и политики маршрутов на роутере?
11.01.2006 19:22:00, nikhil.]]> http://mikrotik.moscow/forum/forum57/66697-paketov-ddos-v-sekundu_-s-kotorymi-mozhet-spravitsya-mt./message259579 http://mikrotik.moscow/forum/forum57/66697-paketov-ddos-v-sekundu_-s-kotorymi-mozhet-spravitsya-mt./message259579 Wed, 11 Jan 2006 19:22:00 -0500 RouterOS Пакетов DDOS в секунду, с которыми может справиться MT. RouterOS в форуме RouterOS.
За последние несколько лет у нас тоже были DDoS-атаки… вот что мне помогло: если возможно, отключите ведение логов файрволом. Логирование просто убьёт роутер под высокой нагрузкой pps, когда всё дропается. Мы как-то видели 200 000 pps, и роутер почти справился, когда мы отключили логирование. Ограничьте количество правил файрвола. Не дропайте всё и потом разрешайте отдельные вещи… просто разрешайте то, что нужно, и дропайте всё остальное. Чем проще, тем лучше. Не используйте очереди на пограничном роутере. Не используйте BGP на файрвольном роутере. Не используйте NAT. Создайте правила защиты от SYN flood. Измените параметры отслеживания соединений на более агрессивные… или просто отключите их, если они не нужны. Отделите пограничный роутер от основного роутера / файрволов. Используйте 64-битные PCI-X Intel серверные сетевые карты. Просто некоторые мысли… результаты могут отличаться. Sam
11.01.2006 18:09:00, changeip.]]> http://mikrotik.moscow/forum/forum57/66697-paketov-ddos-v-sekundu_-s-kotorymi-mozhet-spravitsya-mt./message259578 http://mikrotik.moscow/forum/forum57/66697-paketov-ddos-v-sekundu_-s-kotorymi-mozhet-spravitsya-mt./message259578 Wed, 11 Jan 2006 18:09:00 -0500 RouterOS Пакетов DDOS в секунду, с которыми может справиться MT. RouterOS в форуме RouterOS.
Странно, сегодня один из наших серверов во внутренней сети подвергся DDoS-атаке. Передача данных составляла примерно 55-60000 пакетов в секунду, и загрузка процессора достигла 100%. Наш MT — это 2.8ghz P4, 1gb ram, intel gigE 100proMT, встроенная intel 10/100 и gigE, а также 2.8.26 (это ещё и материнская плата на базе Intel). На нём также работает BGP. Мы едва могли работать с Winbox удалённо. Кроме того, на сетевой карте 10/100 было 30mbps трафика, 55000 пакетов в секунду, и мы почти не могли работать с роутером. Когда мы перевели весь трафик на другой gigE, мы смогли хоть немного поработать с системой, хотя загрузка процессора оставалась на 100%. Нулевая маршрутизация целевого сервера помогла нам вернуть ситуацию под контроль. Хотелось бы понять, как предотвратить это в следующий раз и остановить подобные сбои. Нужно ли нам что-то обновлять в роутере? И какой максимальный pps MT может выдержать, учитывая, что у нас простая маршрутизация и несколько (30-40) политических маршрутов.
11.01.2006 16:24:00, nikhil.]]> http://mikrotik.moscow/forum/forum57/66697-paketov-ddos-v-sekundu_-s-kotorymi-mozhet-spravitsya-mt./message259577 http://mikrotik.moscow/forum/forum57/66697-paketov-ddos-v-sekundu_-s-kotorymi-mozhet-spravitsya-mt./message259577 Wed, 11 Jan 2006 16:24:00 -0500 RouterOS