Как правильно настроить Firewall на Mikrotik?

Question

[Александр Урих]

В офисе стоит Mikrotik RB4011iGS+5HacQ2HnD ROS 6.45.6 (stable)
После выхода на удаленку поднял на нем OpenVPN для доступа к рабочим компам и сервисам в офисе.
Сейчас он начал тупить: периодически, но не часто, отваливаются некоторые клиенты и не могут войти обратно.
В логах нашел такие записи:
sent P_CONTROL_HARD_RESET_SERVER_V2 kid=0 sid=a94ba0e3e11918b pid=0 DATA len=0
no more listening for incoming connections: too busy

И этих хаписей очень много, и они от большого количества IP.
В сети нашел инструкцию как настроить правила для файрвола чтобы блочил ссылка
За сутки он заблокировал уже около тысячи адресов, но этот лог все равно сыпется.
Подскажите, как правильно настроить?

Comments

[Wexter]

использовать нормальные l2tp/ipsec, pptp религия не позволяет? перестаньте насиловать труп openvpn

[Александр Урих]

Wexter, уже задумываемся. Просто раньше использовали опенвпн и при реорганизации решили так оставить

[Wexter]

Александр Урих,

Просто раньше использовали опенвпн и при реорганизации решили так оставить

Замечательное решение, учитывая сырость реализации openvpn в routeros. Да и допиливать его совсем не торопятся

Answer 1

[Дмитрий]

Для начала стоит обновиться до актуальной stable или long-term версии. Похоже что вас проломимили\задосили.
Далее каким-либо образом выявляем зловредов(брутфорсеров) и заносим их адрес лист(тут !!нужно быть аккуратнее!!, что бы не прострелить себе ногу). Создаём правило в firewall raw и там блочим всех из этого листа.

Comments

[Александр Урих]

Обновил только что до 6.45.6
Как я написал уже в основном вопросе, адреса блокируются, и причем много. Но, видимо, не достаточно много...

[Дмитрий]

Александр Урих, актуальная на сегодня - 6.46.8 (Long-term), 6.47.8 (Stable)

[Александр Урих]

Дмитрий, обновился до Stable

Answer 2

[CityCat4]

Ну too busy как бы намекает, что ддосят. Если невозможно определить диапазон IP, с которых ходят "честные" юзеры, то можно попробовать сменить порт, на котором слушает openvpn

Answer 3

[Руслан]

Тупит он не и за конектов а по другой причине конекты и фаировол тут не причем чтоб задость роутер нужно десятки тысяч конектов в минуту слать

Answer 4

[r_gurov]

Не забудьте посмотреть как НЕ надо настраивать файрвол на MikroTik: https://mikrotik.wiki/wiki/Межсетевой_экран:Лженас...