Mikrotik загрузка cpu 100% из-за DNS. Как быть?

Question

[r3aly]

Всем привет! Имею более 5 установленных SOHO роутеров микротик, в разных местах от разных провов, и с разной пропускной скоростью. И начал замечать, что время от времени загрузка роутеров приближается где-то к 100%, на других вываливается связь из-за малой пропускной способности инет-канала. Как выяснилось, причиной всего это во всех случаях какая-то нездоровая активность на DNS сервер Микротика которая либо забивает канал, либо если канал широкий съедает все cpu. Причем на всех установленных роутерах - внешние айпи адреса.

Настраивал все по мануалам, в фаерволле никаких правил не добавлял. Убрал только доступ к микротику, оставив WinBox.
Подскажите, как правильнее закрыть 53 порт? Что бы внутри ничего не нарушить :)

Comments

[post_ed]

заблокировано файрволом все что можно - не помогает

нашел решение:

в winbox'e
IP - DNS - Static - выделяешь свой роутер и жмешь disable - нагрузка сразу упадет

Answer 1

[kirmw]

если через вебку или винбокс, убрать галку с Allow remote request (IP->DNS)

Comments

[Данил К.]

Спасибо!

[frenkycastilla]

kirmw Где же ты был раньше))) Целые сутки промучался с перегруженными цп и и днс в микротике)

Answer 2

[Jeff Lebowski]

То же самое было около года назад. Решилось закрытием 53 порта.
chain input; Dst Adress @твой IP
Protocol 6 (tcp)
Dst port 53.
action drop
(или при желании добавлять эти адреса флудеры в список и банить тот список на определенное время)

И еще 1 правило такое же правило для UDP
Protocol 17 (udp)

Answer 3

[Сергей]

Закройте TCP 53-й порт
Запретите вообще все ДНС запросы из вне

Answer 4

[Евгений]

Оно?

What's new in 6.22 (2014-Nov-11 14:46):

*) ovpn - added support for null crypto;
*) files - allow to remove empty disk folders;
*) sntp - fix problems with dns name resolving failures that were triggering
system watchdog timeout;
*) eoip/eoipv6/gre/gre6/ipip/ipipv6/6to4 tunnels have new features:
tunnels go down when no route to destination;
tunnels go down for 1 minute when transmit loop detected, warning gets logged;
new keepalive-retries setting;
keepalives enabled by default for new tunnels (10sec interval, 10 retries);
*) improved connection-state matcher in firewall - can match multiple states in one rule, supports negation;
*) added connection-nat-state matcher - can match connections that are srcnatted,dstnatted or both;
*) 100% CPU load caused by DNS service fixed;
*) 100% CPU load caused by unclassified services fixed;
*) 6to4 tunnel fixed;
*) new RouterBOOT firmware for Metal 2SHPn to improve wireless stability;

forum.mikrotik.com/viewtopic.php?p=456188

Answer 5

[r3aly]

Подскажите, как это правильнее сделать, потому как в фаерволе я запретил: input, source_adr 0.0.0.0/0 , dst. adr свой_внешний_айпи , 53 tcp. После чего внутрисети начались сложности с "резолвингом" адресов и пр.

Comments

[Дмитрий]

add action=drop chain=input dst-port=53 in-interface=ether1-gateway protocol=udp disabled=no

[r3aly]

Спасибо, вроде помогло!

Answer 6

[Gem]

а еще лучше совсем отключить днс на микротик и использовать\раздавать по dhcp - днс провайдера, публичные гугла (8.8.8.8 4.4.4.4) или яндекса dns.yandex.ru

Comments

[r3aly]

Этот вариант отпадает из-за использования внутренних имен который и держит микротик.

[Gem]

ну если их десяток, и запросы не интенсивные, тогда хватит
а так - не слабый RB2011UiAS-RM тянущей у меня полтора гигабита на nat, начитает захлёбываться уже при паре десятков DNS трафика

Answer 7

[nimbo]

1. обновить ROS до последней версии
2. сбросить настройки в ноль
3. настроить всё через quick set установив галку на Firewall.

Answer 8

[shaytan]

Разрешите запросы ДНС от вашей локалки и запретите запросы ДНС для остальных.