Куда идет трафик ?

Question

[Кирилл 1]

Доброго времени, подскажите заметил в последнее время что при выключенных всех интерфейсах которые относятся к локальной сети, то сам MK генерирует трафик подскажите что не так ? как ?

Comments

[Кирилл 1]

И генерирует трафик на хост 192.99.9.71 при открытии в браузере страницы там вообще сайт игры какой-то....

Answer 1

[Ilya Evseev]

4 мегабита - это слишком много для нормальной активности.
Выглядит так, будто вас поимели, к сожалению.
Точнее можно будет сказать, посмотрев трафик снифером и проверив настройки Микротика.

Comments

[Кирилл 1]

Ok, но вед все внутренние интерфесы отключены, т.е тогда так же генерировался трафик на внутренних(локальных) интерфейсах,

[Ilya Evseev]

Кирилл: с чего Вы взяли, что он генерировался? На них нули. Весь трафик приходит и уходит через внешний интерфейс.

Answer 2

[brutal_lobster]

Запустите утилиту Torch wiki.mikrotik.com/wiki/Manual:Troubleshooting_tool... и посмотрите трафик в реальном времени.

Вероятно, у вас включены dns/ntp и вы участвуете в атаках типа amplification.

Comments

[Кирилл 1]

Собствнно его то я и запускал дабы увидеть куда такой трафик идет, где просто указано что это udp на указанный ранее ip, так же там присутсвовал тот же ip но на 80й порт.

Answer 3

[Клёвый Админ]

Прокси небось включили? И на ветке input его не закрыли снаружи.

Хотя характер поведения какой-то больно обрывистый для прокси. Скорее что-то другое. Кнопка торчь видна прямо на вашем скриншоте. Открыли - выставили таймаут побольше (чтобы окно не так часто сбрасывало статистику) и анализируем кто-что-зачем-куда.

Comments

[Кирилл 1]

Евгений Быченко нет проксю не включал. торчь открывал и наблюдал там загрузка на 4 мегабита по udp на 192.99.9.71 (см. комментарий к вопросу).....

[Клёвый Админ]

Кирилл: делаем блок правило. Потом начинаем внимательно изучать что и как настроено на форварде и на инпуте. Если трафик генерировало не что-то внутри - значит вас имеют батенька.

[Кирилл 1]

Евгений Быченко: да, но раз на локальные интерфейсы не попадают это всего лишь попытка поиметь,…

[Клёвый Админ]

Кирилл: а вот хз. Это и ДДоС может быть и халявный пирринг между провайдерами за ваш счёт и куча ещё чего.

Больно много его, трафика, для случая когда трафф обрывается по drop.