http://mikrotik.moscow Новое в теме 2011UiAS-2HnD странно высокий расход процессора форума Аппаратное обеспечение на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 05:07:45 -0400 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Мне было интересно, есть ли какая-нибудь электронная книга, PDF или сайт, где подробно объясняется основа работы с фаерволом, особенно по правилам и логике цепочек? Лично мне не нравятся шаблоны фаервола, которые показывают на некоторых сайтах про защиту routerboard. Конечно, Zorro, я делаю бэкап каждый день.
03.06.2016 14:43:00, iowa.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436800 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436800 Fri, 03 Jun 2016 14:43:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Кстати, не забудь сделать резервную копию конфигурации своего оборудования ПЕРЕД тем, как вносить важные изменения, а ещё регулярно (раз в полдня или хотя бы еженедельно) сохранять её в бинарном и текстовом видах! Если у тебя CCR/PPC, то я лично бы рекомендовал ещё написать скрипт, который будет автоматически делать бэкап на внешний накопитель (USB-флешку или SD-карту) по расписанию.
26.05.2016 04:11:00, Zorro.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436799 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436799 Thu, 26 May 2016 04:11:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Поздравляю. Всегда думайте о порядке и логике правил межсетевого экрана. Это либо поможет вам, либо сведёт с ума, если настроено неправильно.
23.05.2016 14:30:00, jarda.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436798 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436798 Mon, 23 May 2016 14:30:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Да, ether1 — это единственный WAN-интерфейс. Когда я отключил DNS, всё было нормально, у меня трекинг соединений стоит на авто. Я заблокировал порт 53 TCP/UDP на ether1 и изменил входящую цепочку, как ты писал. Пока что работает отлично. Спасибо.
23.05.2016 08:07:00, iowa.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436797 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436797 Mon, 23 May 2016 08:07:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Ether1 — это единственный внешний интерфейс? Загляни в профайлер, чтобы понять, что жрёт процессор. Если это DNS, временно отключи его и посмотри, как изменится ситуация. Правила считаются? Включён ли connection tracking? В цепочке input: 1 — принять established и related, 2 — отбросить invalid, 3 — принять icmp, 4 — принять с LAN, 5 — отбросить всё остальное. Это должно гарантировать нормальную работу, независимо от того, какие WAN у тебя есть.
22.05.2016 10:01:00, jarda.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436796 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436796 Sun, 22 May 2016 10:01:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
jarda, jebz, спасибо за ваши ответы. Я думал, что простых правил из этого поста будет достаточно — http://forum.mikrotik.com/t/firewall-rules/69251/1. Сейчас я добавил ещё два правила для входящего трафика, так что теперь у меня:

/ip firewall filter  
add action=fasttrack-connection chain=forward connection-state=established,related  
add chain=forward connection-state=established,related  
add action=drop chain=forward connection-state=invalid  
add action=drop chain=input comment=“Disallow weird packets” connection-state=invalid  
add action=drop chain=input dst-port=53 in-interface=ether1 protocol=udp  
add action=drop chain=input dst-port=53 in-interface=ether1 protocol=tcp  
add chain=input comment=“Allow LAN access to router and Internet” connection-state=new in-interface=all-ethernet  
add chain=input comment=“Allow connections that originated from LAN” connection-state=established  
add chain=input comment=“Allow connections that originated from LAN” connection-state=related  
add chain=input comment=“Allow ping ICMP from anywhere” protocol=icmp  
add action=drop chain=input comment=“Disallow anything from anywhere on any interface”  
add action=drop chain=forward comment=“Disallow weird packets” connection-state=invalid  
add chain=forward comment=“Allow LAN access to router and Internet” connection-state=new in-interface=all-ethernet  
add chain=forward comment=“Allow connections that originated from LAN” connection-state=established  
add chain=forward comment=“Allow connections that originated from LAN” connection-state=related  
add action=drop chain=forward

Всё ли так нормально, или нужно добавить ещё правил в фаервол?
21.05.2016 20:07:00, iowa.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436795 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436795 Sat, 21 May 2016 20:07:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Ты пускаешь всё подряд. Как кто-то сказал, у твоего роутера есть потенциал использоваться в качестве источника DNS-атаки.
21.05.2016 11:10:00, jebz.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436794 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436794 Sat, 21 May 2016 11:10:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Типичная проблема, как всегда. Вы участвуете в атаке с усилением DNS. Нужно действительно сбрасывать всё, что приходит с интерфейса WAN, если только вам это положительно не нужно для прохождения. На мобильном клиенте Tapatalk сложно рассмотреть правила вашего файрвола, но убедитесь, что у вас есть безусловный сброс в цепочке INPUT с необходимыми исключениями перед ним.
21.05.2016 05:16:00, jarda.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436793 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436793 Sat, 21 May 2016 05:16:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Опять та же проблема, но, как мне кажется, с лучшей конфигурацией [admin@MikroTik] > export
# 20 мая 2016, 23:21:29, RouterOS 6.35.2

/interface ethernet
set [ find default-name=ether3 ] master-port=ether2
set [ find default-name=ether4 ] disabled=yes
set [ find default-name=ether5 ] disabled=yes
set [ find default-name=ether6 ] disabled=yes
set [ find default-name=ether7 ] disabled=yes
set [ find default-name=ether8 ] disabled=yes
set [ find default-name=ether9 ] disabled=yes
set [ find default-name=ether10 ] disabled=yes
set [ find default-name=sfp1 ] disabled=yes
/interface ethernet switch port
set 6 default-vlan-id=0
set 7 default-vlan-id=0
set 8 default-vlan-id=0
set 9 default-vlan-id=0
set 10 default-vlan-id=0
set 12 default-vlan-id=0
/ip pool
add name=pool1 ranges=192.168.5.1-192.168.5.250
/ip dhcp-server
add address-pool=pool1 disabled=no interface=ether2 name=server1
/system logging action
set 0 memory-lines=100
/ip address
add address=192.168.5.1/24 interface=ether2 network=192.168.5.0
/ip dhcp-client
add default-route-distance=0 dhcp-options=hostname,clientid disabled=no interface=ether1
/ip dhcp-server network
add address=192.168.5.0/24 dns-server=192.168.5.1 gateway=192.168.5.1
/ip dns
set allow-remote-requests=yes
/ip firewall address-list
add address=192.168.5.0/24 list=Support
/ip firewall filter
add action=fasttrack-connection chain=forward connection-state=established,related
add chain=forward connection-state=established,related
add action=drop chain=forward connection-state=invalid
add action=drop chain=input comment="Запретить странные пакеты" connection-state=invalid
add chain=input comment="Разрешить LAN доступ к роутеру и интернету" connection-state=new in-interface=all-ethernet
add chain=input comment="Разрешить подключения, исходящие из LAN" connection-state=established
add chain=input comment="Разрешить подключения, исходящие из LAN" connection-state=related
add chain=input comment="Разрешить пинг ICMP откуда угодно" protocol=icmp
add action=drop chain=input comment="Запретить всё откуда угодно на любом интерфейсе"
add action=drop chain=forward comment="Запретить странные пакеты" connection-state=invalid
add chain=forward comment="Разрешить LAN доступ к роутеру и интернету" connection-state=new in-interface=all-ethernet
add chain=forward comment="Разрешить подключения, исходящие из LAN" connection-state=established
add chain=forward comment="Разрешить подключения, исходящие из LAN" connection-state=related
add action=drop chain=forward
/ip firewall nat
add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.5.0/24
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www address=192.168.5.0/24
set ssh disabled=yes
/system clock
set time-zone-name=Europe/Belgrade
/tool graphing interface
add allow-address=192.168.5.0/24
/tool graphing queue
add allow-address=192.168.5.0/24
/tool graphing resource
add allow-address=192.168.5.0/24

[admin@MikroTik] > Эти всплески нагрузки на CPU для меня действительно очень странные, потому что этим тестом и интернетом пользуюсь только я. У меня подключён только Cisco модем epc 3208 к ether1, к ether2 — мой ПК, к ether3 — IPTV-приставка. ПК используется для обычного серфинга и онлайн-игр без торрентов или похожего софта. В этот момент, пока я это печатаю, загрузка CPU 28%, IPTV выключено, на ПК открыт только Firefox с двумя вкладками — этот форум и страницу графиков. Интересно, что же я делаю не так? Как я писал в первом сообщении в этой теме, хочу поделиться интернетом с двумя друзьями для торрентов, онлайн-игр, обмена файлами, возможно, локального игрового сервера и так далее. Если этот RB так себя ведёт, когда пользуюсь только я, что тогда ожидать при +2 пользователях? Есть идеи?
20.05.2016 21:41:00, iowa.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436792 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436792 Fri, 20 May 2016 21:41:00 -0400 Аппаратное обеспечение 2011UiAS-2HnD странно высокий расход процессора Аппаратное обеспечение в форуме Аппаратное обеспечение.
Я купил 2011UiAS-2HnD и решил провести несколько тестов, прежде чем сделать его «основным» роутером в своей сети. интернет -----> 2011UiAS-2HnD -----> ubiquiti nanostation -------> 3 антенны airgrid (у меня 300/50 Мбит и я хочу поделиться интернетом с друзьями). У меня модем Cisco 3208. Так что я создал очень простые правила, например:

[admin@MikroTik] > export
may/03/2016 23:27:12 by RouterOS 6.35.1  
software id = 2NAW-V5ZU

/ip pool  
add name=pool1 ranges=192.168.5.1-192.168.5.55  
add name=pool2 ranges=192.168.6.1-192.168.6.55  
add name=pool3 ranges=192.168.7.1-192.168.7.55  

/ip dhcp-server  
add address-pool=pool1 disabled=no interface=ether2 name=server1  
add address-pool=pool2 disabled=no interface=ether3 name=server2  
add address-pool=pool3 disabled=no interface=ether4 name=server3  

/system logging action set 0 memory-lines=100  

/ip address  
add address=192.168.5.1/24 interface=ether2 network=192.168.5.0  
add address=192.168.6.1/24 interface=ether3 network=192.168.6.0  
add address=192.168.7.1/24 interface=ether4 network=192.168.7.0  

/ip dhcp-client  
add default-route-distance=0 dhcp-options=hostname,clientid disabled=no interface=ether1  

/ip dhcp-server network  
add address=192.168.5.0/24 dns-server=192.168.5.1 gateway=192.168.5.1  
add address=192.168.6.0/24 dns-server=192.168.6.1 gateway=192.168.6.1  
add address=192.168.7.0/24 dns-server=192.168.7.1 gateway=192.168.7.1  

/ip dns set allow-remote-requests=yes  

/ip firewall address-list  
add address=192.168.88.0/24 list=support  

/ip firewall nat  
add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.5.0/24  
add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.6.0/24  
add action=masquerade chain=srcnat out-interface=ether1 src-address=192.168.7.0/24  

/ip service set  
telnet disabled=yes  
ftp disabled=yes  
ssh disabled=yes  

/system clock set time-zone-name=Europe/Belgrade  

/tool graphing interface add  
/tool graphing queue add allow-address=192.168.88.0/24  
/tool graphing resource add  

[admin@MikroTik] >

Пока я проводил тесты, сеть использовал только я: подключил IPTV, Wi-Fi роутер tp link archer C7, QNAP NAS с доступом в интернет, ноутбук, стационарный компьютер, телефон и планшет. Сегодня заметил очень высокую загрузку процессора с 16 до 18 часов. В логах ничего особенного не увидел.  

Как видите, я отключил ssh, ftp, telnet и www-ssl. С самого начала выключил и эти пакеты:  
1. Hotspot;  
2. IPV6;  
3. Wireless-cm2;  
4. Wireless-fp.  

Я понимаю, что не настроил никаких правил файрвола, но роутер работает почти 2 дня подряд с включёнными www и winbox. Во время высокой загрузки CPU в логах ничего не видно. Прошивка и ОС — последние стабильные версии.  

Это баг или что-то ещё? Буду очень признателен за любую помощь.  

С уважением.
03.05.2016 22:04:00, iowa.]]> http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436791 http://mikrotik.moscow/forum/forum58/89425-2011uias_2hnd-stranno-vysokiy-raskhod-protsessora/message436791 Tue, 03 May 2016 22:04:00 -0400 Аппаратное обеспечение