Russian Users MikroTik | Форум пользователей MikroTik

Доброго времени суток. Обратил внимание на возросшую нагрузку на маршрутизаторе. Раньше было 2-5% теперь 60-70%. Путем недолгих изысканий нашел, что нагрузка падает, если отключить параметр Allow remote requests в DNS. Но тогда нет интернета. Вопрос, от этого как-то можно избавится? Особых телодвижений в сети нет, нагрузка 5-7 Мбит, клиентов не более 5.

У меня на днях была проблема - ломились снаружи на 53 порт. Сделал правило на drop пакетов на 53 порту внешнего интерфейса. Симптомы примерно те же.

Вооооот спасибо, не догадался посмотреть. Действительно, по udp протоколу на 53 порт дичайше ломяться. Но... Это же DNS трафик. Если я его прикрываю, я не могу выйти в интернет. Как бы мне тут извернутся?

Ну так закройте доступ с внешней стороны на 53 порт микротика, зачем оно вам там?

Ну вот, наш модератор как всегда прав Спасибо, вроде все пошло как надо))

podarok66 писал(а):Вооооот спасибо, не догадался посмотреть. Действительно, по udp протоколу на 53 порт дичайше ломяться. Но... Это же DNS трафик. Если я его прикрываю, я не могу выйти в интернет. Как бы мне тут извернутся?

Это не dns трафик. Это трафик до DNS-сервера. Если вы будете запрашивать серввера dns, то от вас трафик пойдет наружу по случайным портам. Соответственно и возвращаться он будет не те же порты. Вашей работе правило блокирования 53 порта никак не помешает.

У меня вот правда появилась втора я проблема. В пике нагрузка зашкаливает за 50мбит и перекрывает почти весь канал. Так что теперь уже мучаю провайдера, чтоб он эту гадость рубил на своем оборудовании.

Кстати, назрел вопрос. Почти во всех мануалах по настройке рекомендуют ставить allow-remote-requests=yes.
Зачем оно нужно?
Исходя из описания в вики - эта галочка дает возможность отвечать внешним серверам и резольвить имена. На домашних моделях оно вроде как и не нужно. Или я не прав?

не правы. если выключить эту галку, то добиться dns ответа от мтика вы не сможете, dns он будет использовать исключительно в своих целях, придётся например использовать dns вашего аплинка. разницы между домашним или не домашним тут нет.

Ясненько. Тогда правильнее всего будет включить remote-requests и закрыть 53 порт снаружи? Или еще что-то посоветуете?

Может правильнее будет запретить remote-requests и выдавать провайдерские dns клиентам через dhcp?

ну лично мы закрываем на шлюзах внешние запросы от абонентов, там где мтики, либо перечисляем свои сети, которые могут запрашивать dns, там где стоит freebsd. аплинки нигде не мучаем =)