Откуда на маршрутизаторе берётся TX-трафик, если нет RX?

Question

[Дмитрий]

Здравствуйте, уважаемые!
У меня просто прямо догадок нет, может вы подскажете как так? Знакомый прислал "скриншот", попросил помочь разобраться.

Возникает ощущение, что кто-то что-то качает непосредственно с самого Микротика. Но как такое возможно?
ether-1 - это аплинк. За ним ADSL-модем и интернет, скоростью как раз в 10 Мбит/с.

Comments

[Ульрих]

Но ведь на скриншоте есть RX. Или я чего-то не понял?

[Дмитрий]

Ульрих: Ну 200 кбит/с RX и 10 Мбит/с TX. При чём на одном интерфейсе. А в моём понимании эти 10 Мбит должны быть в RX другого интерфейса, иначе откуда им взяться?

[Wexter]

Дмитрий: у вас dns наружу смотрит и его нещадно эксплуатируют

[Дмитрий]

+1 pf открытый dns. Если нужно подтверждение - смотрите Torch на внешнем интерфейсе.

Answer 1

[Руслан Федосеев]

закройте фаерволом входящий 53 udp\tcp с внешнего мира, оставьте только внутри bridge

Comments

[Руслан Федосеев]

и ради интереса - посмотрите на загрузку цпу

[Rsa97]

Добавлю - DNS Amplification
https://habrahabr.ru/post/51574/

Answer 2

[Александр Романов]

А ещё есть замечательная утилита Torch, которой можете посмотреть, что за трафик на порту. И да, закрыайте ДНСы

Answer 3

[Melkij]

Почему же нет RX? 200kbps.
А не участник ли это ботнета? Это DDos или ломится вирус?

Comments

[Дмитрий]

Интересно! Проверю на предмет DNS, спасибо!

Answer 4

[Евгений Вольф]

Откуда на маршрутизаторе берётся TX-трафик, если нет RX?

Если я правильно помню, Tx - исходящий, Rx - входящий.

Откуда берётся исходящий трафик? Всё зависит от того, какой трафик подсчитывается, это может быть всё что угодно. ARP-трафик, ICMP-трафик и/или ещё что-нибудь. Откуда он берёт - как минимум, сам маршрутизатор может его генерировать.

Comments

[Дмитрий]

ARP/ICMP и т.п. в размере 10 Мбит/с?

[Евгений Вольф]

Дмитрий: да, что-то про секунды я не заметил, мой косяк :) Я сначала подумал, что это общий объём за N времени...

[Евгений Вольф]

Дмитрий: подозреваю, что клиент подключенный к "ether1" его генерирует. Попробуйте поставить на клиенте сниффер и посмотреть, куда и что он отправляет/получает.

Answer 5

[eblan]

Скорее всего с вашего роутера ддосят, через DNS Amplification. У меня такая же проблема была, на тестовом сервере канал 1Гбит/с забивался под 100% и не возможно было работать, решилось полным закрытием порта 53.