Extremmy traffic na WAN MK

Levian

V poslednom case sa mi stava ze na wan porte mikrotiku extremne naraste trafic az do stavu maximalnej moznej konektivity. Na lan porte zaroven klesa trafic uplne na minimum. Dostane sa to az do stavu ze na lan vypadne uplne net. Cele sa to deje v nahodnych casoch priemerne raz,dva krat za den a trva to od par sec az 5min. DNS na wan je bloknute, v logoch nic nestandardne nieje. Vedel by niekto poradit co s tym ?

iTomB

Levian Pokud mas verejku, muze to byt nejaku druh utoku. Zkus si torch a kontaktuj sveho ISP 😉

foxmen01

Levian Taktez se mi to deje. Vytizeni konektivity na max. po dobu cca 5 minut a pak vse ok. Mam podezreni na jednoho uzivatele s Turrisem (verejna IP) , ktery ma ve sve sprave, protoze v dobe "utoku" je jeho nastavene pripojeni taktez na max. Routing mi dela OSPF.
Problem je, ze se tento stav neda simulovat a deje se v dopolednich hodinach. Hledam i chybu ve svych nastavnich, ale zatim bez uspechu. Uvidime...
@hapi onehná vzpomínal chybu v spojenou s routingem a TTL a následné vytížení konektivity.

Levian

dacesilian
Smycka v routingu nebude, to by bol problem asi stale. Toto robi len niekdy a kratky cas. Je to dokonca hranicny router. Konfiguracia routra sa nemenila velmi dlho a nebol s tym problem, zacalo to robit cca mesiac dozadu..

Levian

Tiez sa mi to zda ako forma utoku... Problem je ze ked sa to stane a kym to spozorujem nestihnem sa ani pripojit na MK a pozriet to. Alebo ked sa chcem pripojit neda sa mi router je uplne nedostupny. Viem sa tam pripojit len cez wan port, nieje to priamo moja siet.

pgb

Jaký to je router? Jaká je maximální konektivita? Pokud je to hraniční router, tak lze předpokládat útoky ať už zahlcením nebo třeba útokem na conntrack. Podívej se do NetFlow. Mohl by jsi tam mít vidět co to je nežli se router odmlčí protože nedokáže vytvářet nová spojení. On to je prostě problém co nemá asi úplně jednoznačné řešení.

Levian

pgb Je to mikrotik CCR1016, konektivita 800M. Vytazenie v beznej prevadzke je asi 50% a v case problemu 100%

pgb

Levian dobrý vtip, pokud máš průměrné vytížení 50%, tak máš peaky na jednotlivých jádrech na 100%. Takže zralé na přepsání FW/shaperu, nedej bože aby to byl ještě pppoe koncentrátor.

Levian

pgb 50% som myslel vytazenie konektivity nie cpu routra.

pgb

Levian ok, monitoruješ i pps/conntrack ? Ten vyroste jak? Běžné útoky co na nás chodí jsem hlavně na conntrack. Takže hromada pps, ale datový tok max jednotky Gbps. Koukni do netflow.

basty

Řešili jsme něco podobného. Klient s 6M tarifem komunikoval někam a té adresy zpátky teklo pak cca 60Mpbs ale snad 100k pps.

s_a_m

Co zviratka prochzel jsi ten mkt?

crazyape

Bude to DDoS ...

Levian

Mam dalsie info. Vytazenie sa opakuje relativne v rovnakych casoch, vcera aj dnes do bolo po 13hod a vecer po 21hod. Dnes som objavil v logoch !

davidp

Levian čuchám Rusko 😃
https://ispforum.cz/d/25983-bfderror-discarding-BFD-packet:-too-short

crazyape

davidp na 6.45 a starším snad nejede ... 😃 doufam

Levian

6.47.8, vsetky IP su rusko, jedna je kanada.