Mikrotik management грузит процессор

Обновлено: 07.07.2024

Всем привет! Имею более 5 установленных SOHO роутеров микротик, в разных местах от разных провов, и с разной пропускной скоростью. И начал замечать, что время от времени загрузка роутеров приближается где-то к 100%, на других вываливается связь из-за малой пропускной способности инет-канала. Как выяснилось, причиной всего это во всех случаях какая-то нездоровая активность на DNS сервер Микротика которая либо забивает канал, либо если канал широкий съедает все cpu. Причем на всех установленных роутерах - внешние айпи адреса.

Настраивал все по мануалам, в фаерволле никаких правил не добавлял. Убрал только доступ к микротику, оставив WinBox.
Подскажите, как правильнее закрыть 53 порт? Что бы внутри ничего не нарушить :)

Оценить 1 комментарий

заблокировано файрволом все что можно - не помогает

в winbox'e
IP - DNS - Static - выделяешь свой роутер и жмешь disable - нагрузка сразу упадет

если через вебку или винбокс, убрать галку с Allow remote request (IP->DNS)

Закройте TCP 53-й порт
Запретите вообще все ДНС запросы из вне

То же самое было около года назад. Решилось закрытием 53 порта.
chain input; Dst Adress @твой IP
Protocol 6 (tcp)
Dst port 53.
action drop
(или при желании добавлять эти адреса флудеры в список и банить тот список на определенное время)

И еще 1 правило такое же правило для UDP
Protocol 17 (udp)

What's new in 6.22 (2014-Nov-11 14:46):

*) ovpn - added support for null crypto;
*) files - allow to remove empty disk folders;
*) sntp - fix problems with dns name resolving failures that were triggering
system watchdog timeout;
*) eoip/eoipv6/gre/gre6/ipip/ipipv6/6to4 tunnels have new features:
tunnels go down when no route to destination;
tunnels go down for 1 minute when transmit loop detected, warning gets logged;
new keepalive-retries setting;
keepalives enabled by default for new tunnels (10sec interval, 10 retries);
*) improved connection-state matcher in firewall - can match multiple states in one rule, supports negation;
*) added connection-nat-state matcher - can match connections that are srcnatted,dstnatted or both;
*) 100% CPU load caused by DNS service fixed;
*) 100% CPU load caused by unclassified services fixed;
*) 6to4 tunnel fixed;
*) new RouterBOOT firmware for Metal 2SHPn to improve wireless stability;

Высокая загрузка CPU в устройствах Mikrotik зачастую есть результат ответственности Микротика к dns-запросам.

Однако, большая часть запросов прилетает извне локалки, и отвечать на них не нужно.

Открываем Winbox, переходим System → Resources и смотрим загрузку процессора:

Уточняем службу, нагружающую CPU, идем Tools → Profile:

Вариант 1.

Идем IP → Firewall → Filter Rules, добавляем два правила:

1. Все IP – адреса на интерфейсе ether1, пакеты с которых приходят на 53 порт помещаем адресный лист с именем dns- spoofing на 1 час. Во вкладке General указываем следующие параметры:

Переходим во вкладку Action:

2. Каждый IP – адрес на интерфейсе ether1, с которого будет поступать запрос на 53 порт, будет проверяться на предмет нахождения в списке dns spoofing . Если он там есть, мы будем считать, что это DNS – спуфинг с частотой реже чем раз в час и будем дропать данный пакет.

General идентичны первому правилу:

Вкладка Advanced:

Вкладка Action:

Перемещаем правила повыше, проверяем на вкладке IP → Firewall → Address Lists наличие адресов в адресном листе, Проверяем загрузку CPU.

Вариант 2.

Идем IP → Firewall → Filter Rules, добавляем одно правило:

1. Все IP – адреса на интерфейсе ether1, пакеты с которых приходят на 53 порт, дропаем. Во вкладке General указываем следующие параметры:

Переходим во вкладку Action:

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Приветствую.
Купил за недорого эту железяку. RB951Ui-2HnD.
До сегодня дела с микротиками не имел. Но вот решил набраться опыта. Но пока что-то не очень получается.
Делал сброс роутеру.
Ничего.
Ни winbox64 ни netinstall-6.49 не видят железку.
ВайФай никакой не раздаёт.
При включении на миг загораются светодиоды 3 и 4 лан и гаснут, но дальше даже при подключённом лан кабеле в любой из разъёмов - они не загораются.
Айпиадрес как прописывал своей сетевой 192.168.88.21 так и ставил автоматом.
Ничего.
На адрес 192.168.88.1 не заходит.
Что делаю не так? Заранее спасибо
Добрый день на филиале необходимо организовать сеть на MikroTik'е. Работают "хитрые сотрудники" которые бывало сбрасывали настройки на заводские, в связи с чем пропадала возможность удаленного доступа к филиалу. Есть способ как то поменять конфигурацию заводских настроек на свои что бы "диверсии" не удавались? Или как то запретить сброс на заводские настройки? Буду очень благодарен за помощь.

-RB3011UiAS-RM - 10-ти портовый управляемый маршрутизатор с SFP. 10х10/100/1000 RJ45 ports, 1xSFP port, 1xRJ45 Serial port, USB 3.0 type A port. Процессор двухядерный IPQ-8064 1.4 GHz, ОЗУ 1 GB, флэш память 128 MB. PoE in/PoE out. Адаптер питания 24V 1.2A. Корпус для монтажа в стойку.
-в новом состоянии
- в комплекте только маршрутизатор
цена 2900грн.

Продам наружные точки доступа Mikrotik SXT 2 2HnD б/у
В наличии 4 шт
POE питание и блок питания в комплекте.
Цена комплекта 850 грн/шт

Сетевое оборудование вендора Mikrotik является весьма любопытным и привлекательным продуктом в сегменте SOHO (Small office/home office). Соотношение цены, качества, функционала и стабильности обеспечивает все большее распространение небольших белых коробочек в офисах небольших компаний.

Но спустя какое-то время беззаботного пользования, пользователи начинают жаловаться. Администратор, открыв Winbox, переходит в раздел System → Resources и видит, что загрузка процессора 100%:

Не стоит волноваться. У нас есть решение. Все настройки и «траблшутинг» будем осуществлять с помощью Winbox.

Настройка Firewall в Mikrotik

Первым делом давайте проверим службу, которая больше всего «отъедает» ресурсов процессор. Для этого, перейдем в раздел Tools → Profile:

Как видно из скриншота, львиную долю ресурсов нашего процессора занимает служба DNS. Давайте посмотрим, что происходит на уровне обмена пакетами на основном интерфейс ether1. Для этого воспользуемся утилитой Tools → Torch:

Мы видим большое количество пакетов с различных IP – адресов на 53 порт. Наш Mikrotik отвечает на каждый из таких запросов, тем самым, нерационально используя ресурсы процессора и повышая температуру.

Эту проблему надо решать. Судя по снятому дампу, пакеты приходят с частотой 10-20 секунд с одного IP – адреса. Добавим в наш Firewall два правила:

Все IP – адреса, пакеты с которых приходят на 53 порт нашего Микротика будут помещаться в специальный лист с названием dns spoofing на 1 час.
Каждый IP – адрес, с которого будет поступать запрос на 53 порт будет проверяться на предмет нахождения в списке dns spoofing . Если он там есть, мы будем считать, что это DNS – спуфинг с частотой реже чем раз в час и будем дропать данный пакет.

Переходим к настройке. В разделе IP → Firewall → Filter Rules создаем первое правило нажав на значок «+». Во кладке General указываем следующие параметры:

Переходим во вкладку Action:

Нажимаем Apply и OK. Настроим второе правило, так же нажав на «+»:

Как видно, настройки во вкладке General в данной вкладке идентичны первому правилу. Нажимаем на вкладку Advanced:

Переходим во вкладку Action:

После того, как оба правила стали активны переходи во вкладку IP → Firewall → Address Lists:

Как видно, адреса стали добавляться в список на 1 час. Теперь давайте проверим загрузку процессора:

Теперь загрузка процессора в пределах нормы. Проблема решена.

Пожалуйста, расскажите почему?

Нам жаль, что статья не была полезна для вас 🙁 Пожалуйста, если не затруднит, укажите по какой причине? Мы будем очень благодарны за подробный ответ. Спасибо, что помогаете нам стать лучше!

Подпишитесь на нашу еженедельную рассылку, и мы будем присылать самые интересные публикации 🙂 Просто оставьте свои данные в форме ниже.

Высокая загрузка CPU в устройствах Mikrotik зачастую есть результат ответственности Микротика к dns-запросам.

Однако, большая часть запросов прилетает извне локалки, и отвечать на них не нужно.

Открываем Winbox, переходим System → Resources и смотрим загрузку процессора:

Уточняем службу, нагружающую CPU, идем Tools → Profile:

В нашем случае — это точно служба DNS.

По умолчанию, внешним интерфейсом назначают ether1. Проверим, какое количество пакетов прилетает на 53 порт — идем Tools → Torch:

Вариант 1.

Идем IP → Firewall → Filter Rules, добавляем два правила:

Chain = input — обрабатываем приходящие пакеты
Protocol = UDP — нас интересуют пакеты, у которых в качестве транспорта используется UDP
Dst. Port = 53 — портом назначения должен быть 53 порт, то есть DNS служба
In. Interface = ether1 — проверка подвергаются все пакеты, которые приходят на интерфейс ether1, который смотрит в публичную сеть.

Переходим во вкладку Action:

Action = add src to address list — в качестве действия, мы будем добавлять IP – адрес источника в специальный лист
Address List = dns spoofing — указываем имя листа, в который добавляем IP
Timeout = 01:00:00 — добавляем на 1 час.

General идентичны первому правилу:

Chain = input — обрабатываем приходящие пакеты
Protocol = UDP — нас интересуют пакеты, у которых в качестве транспорта используется UDP
Dst. Port = 53 — портом назначения должен быть 53 порт, то есть DNS служба
In. Interface = ether1 — проверка подвергаются все пакеты, которые приходят на интерфейс ether1, который смотрит в публичную сеть.

Src. Address List= dns spoofing — указываем производить проверку приходящего пакета на предмет нахождения в указанном листе.

Action = drop — если IP – адрес пакета есть в указанном списке, то дропаем этот пакет.

Вариант 2.

Идем IP → Firewall → Filter Rules, добавляем одно правило:

Chain = input — обрабатываем приходящие пакеты
Protocol = UDP — нас интересуют пакеты, у которых в качестве транспорта используется UDP
Dst. Port = 53 — портом назначения должен быть 53 порт, то есть DNS служба
In. Interface = ether1 — проверка подвергаются все пакеты, которые приходят на интерфейс ether1, который смотрит в публичную сеть.

Переходим во вкладку Action:

Action = drop — указываем, что дропаем этот пакет.

Вопрос задан более трёх лет назад
16003 просмотра

И еще 1 правило такое же правило для UDP
Protocol 17 (udp)

Читайте также:

Mikrotik management грузит процессор

Создайте аккаунт или войдите в него для комментирования

Создать аккаунт

Войти

Сейчас на странице 0 пользователей

Похожие публикации

Настройка Firewall в Mikrotik

Пожалуйста, расскажите почему?