Как заблокировать SMTP?

Question

[Андрей]

Доброго времени суток, пытаюсь вычислить СПАМ рассылку в сети. Запустил torch в Mikrotik на первом WAN порту и вижу вот такую картину:

На втором порту WAN тишина. Как только вырубаю WAN1 весь трафик переключается на WAN2 картина в torch повторятся как и в первом случае.

Подскажите как мне вообще заблокировать SMTP для всех, и оставить только определенным пользователям на Mikrotik?

Answer 1

[MrPurrPurr]

с помощью ip - firewall заблокировать для всех кроме избранных dst port 25. Там же включить log и выявить какой адрес заражён.

Comments

[Андрей]

добавил правило add action=drop chain=output dst-port=25 log=yes protocol=tcp
В логе вижу только свой внешний IP

Как мне правильно написать правило чтоб видеть локальный адрес?

[MrPurrPurr]

Андрей, я бы попробовал chain=forward

[Андрей]

MrPurrPurr, poisons,
Спасибо за советы, проблема решилась, сбросом на заводские настройки и удалении всех файлов с флэхи роутера.
Как то в сентябре этот роутер был взлома используя известную уязвимость winbox, после чего я обновился, почистил скрипты и планировщик, удалил файл mikrotik.php. Но видимо зараза проникла в файлы кэптив портала, по этому не удалось определить ip адрес кто рассылает спам.
alexw1n, я как раз и пытался проанализировать исходящий траф, так как позвонил провайдер и сказал что я рассылаю спам.
Именно тем что я указал правила output удалось это выявить что сам роутер заражён , путём жесткого отключение всех устройств из сети оставив заведомо чистый пк и инфицированный роутер, по логу было понятно что спам продолжается.

Answer 2

[Maksim]

Найти и наказать:

https://wiki.mikrotik.com/wiki/How_to_autodetect_i...