Oddělení dvou interních síťí

pheek · 2022-02-15T20:26:51+00:00

Dobrý den, chtěl bych se zeptat, zda jsem schopný oddělit dvě interní síťě tak, abych si ani z jedné nebyl schopný pingnout na interface té druhé sítě. Mám...

iTomB

pheek jim nevolej, zmen si to u sebe a hotovo ...

radek_kovacik

dacesilian Dá se nějak jednoduše vysvětlit, k čemu je dobrá raw tabulka a firewall na ní založený? Nějak jsem nepochopil rozdíl od běžného firewallu.

pgb

radek_kovacik https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/Raw

radek_kovacik

pgb To jsem si četl ještě předtím příspěvkem, ale právě jsem nepochopil, k čemu je to dobré. Mikrotik tam uvádí jako příklad použití při odrážení DOS útoků, což by asi nebyl můj problém. U mne by to asi dříve zahltilo linku (VDSL), než by padl router.

ludvik Ja tam velký rozdíl ohledně zatížení CPU, zda se to zpracuje v RAW nebo až v některé další tabulce?

ludvik

No vždyť to rozdíl není :-) Paket, když vyleze ze síťové karty (ovladače), tak je zpracován netfilterem. Ten má několik tabulek, každá má trochu jiné místo a vlastnosti. RAW je z nich první (u mikrotiku druhá, ale to je fuk, do hotspot přístup není). A to je ten nejdůležitější rozdíl - je ještě před mangle a filter, tedy i před zpracováním conntrack tabulky. Takže cokoliv se udělá v RAW má nejvyšší výkon (hned po filtru v síťové kartě samotné).

ludvik

radek_kovacik Lze říci - rozdíl je obrovský. Už nevím kde to bylo, ale řešila se tam obrana proti DOS. Pomocí RAW tabulky šla propustnost (v tomto případě tedy DROP) řádově nahoru.

Jak jsem zmínil conntrack - on počet paketů za vteřinu není ten důležitý údaj (tedy pokud to nepřeleze kapacitu linky). Důležitější u těch slabších routerů je právě conntrack tabulka. Jak její velikost, tak především počet nových spojení za vteřinu. A v svým způsobem tedy i zatížení CPU, to jde ruku v ruce.

pgb

radek_kovacik je to skoro jak psal ludvík ... raw je v případě mikrotiku skoro první konfigurovatelná tabulka v řadě a jako taková slouží primárně k filtraci na preroutingu. Nejjednodušší útoky jsou právě na contrack, které jde za určitých situací ovlivnit pomocí RAW viz ludvíkův text. Jako obrana proti hrubému pps útoku není moc imho použitelná, protože náročnost jejího odbavení je víceméně stejná, protože dojde k plné alokaci SKB a paměti pro packet. Její primární význam je pro mě ochrana conntracku. Pokud chceš zvýšit schopnosti dropu, tak máš dvě možnosti:

použít XDP v driveru hned za interuptem, ale ještě před alokací paměti což pomůže v pps asi 3.5x
použít chytrou síťovku podporující XDP přímo ještě před alokací interuptu a to funguje v asicu až do linerate (tohle používá třeba coudflare a mnozí další)

radek_kovacik

Díky za objasnění.
Jsou někde na stránkách Mikrotiku zmiňované tabulky netfiltru zobrazené v grafickém diagramu, něco jako packet flow? Zkoušel jsem to hledat a nepodařilo se, v samotném packet flow to není a na stránce s popisem RAW tabulky taky ne. Každopádně musím říct, že se úroveň té jejich nápovědy a dokumentace přechodem na nový systém podstatně zlepšila.

pgb

Ale je, je to na tom odkazu co jsi sám poslal. Rozkreslene v preroutingu. Lépe čti.

« Předchozí stránka