Traffico anomalo sulla CPE

[sincerbex]

Ciao a tutti,
vi allego uno screnshoot un po strano:

https://imageshack.com/i/pbiPNzvuj

si genera questo strano traffico in tx nonostante non ci siano servizi particolari attivi es: bandwidth test, web proxy, ssh, ftp, ecc.
La cosa strana e che non passa dalla ether1, come se venisse generato dalla cpe e arriva anche a 2M.
facendo un torch sull pppoeout vedo che questo traffico se ne va verso ip sconosciuti.

Cosa potrebbe essere??

[xanio]

torch cosa dice?

[sincerbex]

scusa nel frattempo ho corretto il post

[Linkwave]

Attacco dns.

Usa il torch: se il traffico è udp porta 53 ho vinto una bambolina a forma di RouterOS 7.

Lorenzo

[steste64]

Porta 53 da chiudere? Ci siamo passati un po tutti..... Alcune volte anche installatore che attiva il proxy sulla 8080 senza chiuderlo verso l'esterno!!!!!

[ppraz]

Porta 53 da chiudere? Ci siamo passati un po tutti..... Alcune volte anche installatore che attiva il proxy sulla 8080 senza chiuderlo verso l'esterno!!!!!

Quando ero giovane mi sono successe tutt'e due

[sincerbex]

ok..
è proprio 1attacco dns
ora ho applicato queste 2 regole:

Codice: Seleziona tutto

action=reject chain=input dst-port=53 in-interface=pppoe-out1 protocol=udp reject-with=icmp-host-unreachable
action=reject chain=input dst-port=53 in-interface=pppoe-out1 protocol=tcp


ed effettivamente il traffico si è quasi annullato e vedo sopratutto la regola sull'UDP che lavoro benissimo..
xò rimane sempre un po di traffico, proveniente, credo, sempre da queste richieste. Allego screenshoot:

https://imageshack.com/i/f0HMla7Tj

ce qualche soluzione??o questi pochi kb me li devo sopportare??

NON SI SMETTE MAI D'IMPARARE!!!

[Linkwave]

Io la action l'avrei messa "drop".

Lorenzo

[ppraz]

Io la action l'avrei messa "drop".

Lorenzo

Concordo. Scusa ma invece il reject sul tcp? Non ha senso IMHO

[figheras]

ce qualche soluzione??o questi pochi kb me li devo sopportare??

Certo blocca il traffico a monte della connessione, fai una regola di forward che dice che tutto i traffico in destinazione a quel pubblico con dst-port=53 venga bloccato definitivamente!
Purtroppo le richieste alla cpe arrivano sempre senza questa regola:

Codice: Seleziona tutto

/ip f f add chain=forward dst-address=xxx.xxx.xxx.xxx dst-port=53 protocol=tcp action=drop
/ip f f add chain=forward dst-address=xxx.xxx.xxx.xxx dst-port=53 protocol=udp action=drop