http://mikrotik.moscow Новое в теме 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 03 Aug 2026 06:27:30 -0400 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
У меня есть. Номер дела указан в предыдущем сообщении. Уже больше 45 дней никаких новостей по делу, но я продолжаю предоставлять обновления как по делу, так и в этом посте.
04.12.2021 17:27:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406830 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406830 Sat, 04 Dec 2021 17:27:00 -0500 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
Ещё одно дополнительное уточнение/вопрос к моему предыдущему комментарию: если объяснение заключается в том, что нужно закрыть сессию, то какую именно сессию? Её просто не было, ведь на этом IP ничего не существует, так что сессия изначально не могла появиться.
02.11.2022 16:03:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406829 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406829 Wed, 02 Nov 2022 16:03:00 -0400 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
Спасибо за исследование. Я ценю ваши усилия. Однако это не объясняет, почему поведение изменилось. Я проверял в своём тикете поддержки, и действительно подтвердил, что поведение изменилось. Кроме того, это происходит только с TCP и только иногда. Если бы такое поведение было обязательным для завершения сессии, я бы ожидал, что оно будет постоянным, но это не так. Ещё, Mikrotik — единственный производитель, на оборудовании которого я это тестировал и где такое происходит. Что касается меня, то в моей сети эта проблема больше не актуальна, так как мы обновили роутеры на другого производителя, где корректно работает netflow.
11.10.2022 13:42:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406828 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406828 Tue, 11 Oct 2022 13:42:00 -0400 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
После более тщательного изучения вашего отчёта нам, по крайней мере, удалось получить такое же поведение на версии v6.49.6. Быстро глянув в whitepaper, я предполагаю, что это сделано в netflow для корректного закрытия потоков.
07.10.2022 12:49:00, sergejs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406827 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406827 Fri, 07 Oct 2022 12:49:00 -0400 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
— Документирую на случай, если кто-то из сообщества столкнется с такой же ситуацией — Обновление по делу: последний ответ от mikrotik был 4 октября, несмотря на то, что я предоставлял обновления по запросу. Моя последняя попытка до включения этого вопроса в решение по обновлению сети в январе. Сейчас просто хочу получить какое-то подтверждение — будет ли это решаться или нет. К сожалению, мой кейс требует исправной работы netflow.

Отправил в поддержку по моему делу:  
Хотел бы узнать новости по SUP-60021. Уже больше двух месяцев нет никакого ответа. Теперь, когда v7 считается «стабильной», отсутствие обратной связи меня беспокоит. Мне сказали, что, вероятно, это задуманный механизм. Но за последние два месяца я доказал (прикреплённые материалы к делу), что такого поведения не было в 7.1beta6 и ранее (в том числе в 6.x), оно появилось в 7.1rc1 и новее. Мог бы кто-нибудь ответить, чтобы я понимал, что вопрос расследуется? Или хотя бы скажите, если это не собираются исправлять, пока не начнут жаловаться другие, кто зависит от netflow, чтобы я мог начать искать производителя сети, который соблюдает RFC.

Мне нужно использовать возможности v7.1 в моей продуктивной сети, но из-за неработающего netflow обновление невозможно.  

Кратко: netflow в текущей реализации умеет отправлять отчет о трафике, когда TCP-сессия пытается установиться с несуществующим IP — этот несуществующий IP попадает в отчет как src трафика, из-за чего анализаторы потока думают, что это реальная точка, искажая отчеты и делая netflow ненадежным источником информации. В 7.1BETA6 и версиях ниже такого не было.
08.12.2021 04:33:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406826 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406826 Wed, 08 Dec 2021 04:33:00 -0500 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
Вы отправляли письмо на support@mikrotik.com? Если нет, советую это сделать.
04.12.2021 07:59:00, Jotne.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406825 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406825 Sat, 04 Dec 2021 07:59:00 -0500 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
7.1 ТЕСТИРОВАНИЕ по-прежнему показывает проблемное поведение.
03.12.2021 16:39:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406824 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406824 Fri, 03 Dec 2021 16:39:00 -0500 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
verified 7.1rc7 всё ещё страдает этой проблемой. Также проверено на стороне поддержки по делу SUP-60021, если кому интересно, хотя за последний месяц там особо никаких движений не было, и поддержка говорит, что так и задумано?!? Версии 7.1 beta6 и ниже не затронуты, так как они не отправляют отчёты о трафике, которого никогда не было. Всё ещё надеюсь, что Mikrotik обратит внимание на это и решит проблему в будущих релизах. Ещё при дополнительном тестировании выяснилось, что из UDP, ICMP, TCP, GRE, IPIP, L2TP… только TCP вызывает эти «призрачные» отчёты о потоках.
01.12.2021 00:43:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406823 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406823 Wed, 01 Dec 2021 00:43:00 -0500 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
Вопрос к более широкой аудитории, есть ли у кого-то опыт использования netflow-отчетности и наблюдал ли кто-то такое поведение? Кто-то, кто использует flow-отчеты, сталкивался с этим? Мне удалось воспроизвести это на разных моделях, к которым у меня есть доступ, и я удивлён, что никто этого раньше не заметил. Я проверил версию 7.1rc5 — проблема там тоже есть. Корень проблемы в том, что устройства Mikrotik через netflow сообщают о потоке, которого на самом деле не было в сети. При включённом flow-отчёте запрос wget http://some-ip-that-does-not-exist-on-network-but-defined-in-network-subnet создаёт netflow-запись на исходящий пакет (TCP SYN), что ожидаемо, но также указывает на возвратный пакет ACK/FIN от IP-адреса, которого в сети нет. Анализатор пакетов и torch не показывают такого возвратного пакета в сети. Похоже, что этот пакет полностью выдуман в flow-отчётах Mikrotik и нигде больше не отражается. В результате, команда nmap -p 80 -Pn 192.168.0.0/16 или 10.0.0.0/8 или 172.16.0.0/12 испортит работу любого инструмента flow-отчётности, создавая в них несуществующие конечные точки. В моих тестах я проверял это с ntop-ng. Также проверялся VyOS, pfSense, Cisco, Juniper, Ruckus и Mikrotik до серии 7.1 RC — эти устройства с netflow так не ведут себя. Там возвратные пакеты не отображаются, как и должно быть.
07.11.2021 23:43:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406822 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406822 Sun, 07 Nov 2021 23:43:00 -0500 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
Обновление: только что протестировал rc4, проблема всё ещё есть. Отчёты по потокам фактически не работают, потому что в нынешнем виде они просто ненадёжны.
21.09.2021 15:23:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406821 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406821 Tue, 21 Sep 2021 15:23:00 -0400 RouterOS 7.1rc1+ Отчёты о трафике показывают несуществующие IP-адреса как SRC в отчётах о потоках для пакетов, которые никогда не появлялись в сети. RouterOS в форуме RouterOS.
После обновления до 7.1rc2 заметил, что экспорт потоков показывает исходный IP-адрес в потоках для IP-адресов, которых вообще нет в сети. Использую CCR2004.

/ip/traffic-flow export:  
/ip traffic-flow  
set cache-entries=256k enabled=yes  
/ip traffic-flow target  
add dst-address=172.16.16.11 port=4739 src-address=172.16.96.1 version=ipfix  

Если посмотреть захват IPFIX-трафика в Wireshark, то явно видно, что есть поток с srcaddr: 172.16.202.186 — это IP, который не используется, не отвечает на пинг или другой трафик.  

Шаги для воспроизведения:  
- Настроить экспорт потоков (не уверен, важна ли именно эта конфигурация, но приведённая выше — та, что я использую).  
- Запустить захват пакетов для IPFIX-трафика (я использую захват на устройстве 172.16.16.11, чтобы слушать весь трафик на порту 4739 — моём настроенном порту).  
- Попытаться установить TCP-сессию с несуществующим IP, например, открыть браузер и перейти на http://somefakeip или выполнить nmap -p 80 -Pn notarealhost.  

В Wireshark использую фильтр: cflow.srcaddr == 172.16.202.186.  
Ожидаю, что ничего не появится, но на самом деле в потоке показываются все попытки TCP-рукопожатия.  

Важно отметить, что ICMP-трафик, судя по всему, такого не вызывает, пока что триггерится только TCP.  

Редактирование: дополнительные наблюдения  
Удалось воспроизвести эту ситуацию по требованию и на втором CCR2004, и на RB4011, так что поведение стабильно повторяется.
03.09.2021 14:52:00, aglabs.]]> http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406820 http://mikrotik.moscow/forum/forum57/86440-7.1rc1_-otchyety-o-trafike-pokazyvayut-nesushchestvuyushchie-ip_adresa-kak-src-v-otchyetakh-o-potokakh-dlya-paketov_-kotorye-nikogda-ne-poyavlyalis-v-seti./message406820 Fri, 03 Sep 2021 14:52:00 -0400 RouterOS