53 порт загружает процессор на 100%

[alex777good]

Добрый день. RB2011UIAS-RM - 2 шт. 2 подсети. На каждую сеть написаны одинаковые правила на закрытие извне 53 порта. Правила работают. НО - в одной сети по 53 порту практически нет активности, а в другой зашкаливает. Скрины правил и проверки нагрузки прилагаю.

[podarok66]

Если процессор загружен, значит правило не работает. Дроп не позволил бы, ну сами подумайте. Другой вопрос, почему оно не работает. Для начала поднимите его повыше, вполне возможно, что какое-то правило перед ним разрешает проход пакетов, и запрет ниже него просто не отрабатывает. Да и вообще, гадать без конфига - ну его на фиг.Давайте конфиг, посмотрим правила.

[Vlad-2]

Для ТС:

Так как моделька не очень мощная, да и в целом флуд-пакеты нам нафиг не нужны,
поэтому совет: перенесите правила дроп-пакетов по 53 порту из основного файрвола
(Filter Rules) в закладку RAW
Там эти правила будут ещё эффективнее и лучше, быстрее отрабатывать.

Ну и разберитесь с самими правилами, где-то ошиблись, Вам правильно подсказали,
если флуд продолжается, значит что правила не срабатывают. Проверьте какой
внешний интерфейс указан у Вас в правилах?!

[alex777good]

Спасибо, что откликнулись. Насчёт правильности написания правил - сейчас ещё раз проверяем, но пока сомнений не вызывает. И да - похоже оно не работает. По списку в FireWall ставили первым. Толку - ноль. Засунем в Raw, посмотрим, что получится. Конфиг подчищу - скину.

[alex777good]

Заработало. Заработало вот так:


Хрен знает - правильно - не правильно. Решалось методом научного тыка.
Загрузка упала до max 40%. Напрягает количество блокируемых пакетов - 1 000 000 за 1,5 часа.

[KARaS'b]

Вы так тщательно скрываете все настройки фаревола, будто у вас там номер бансковской карты зашит, со всеми необходимыми реквизитами. Ваши скриншоты вообще не дают представления о происходящим, т.к. правила работают в совокупности. Из всего что вы написали пока вообще ничего не понятно и хоть что-то вразумительное можно будет сказать только после того, как вы покажете экспорт всех правил, о чем вам уже говорили.

[imaoskol]

Заработало. Заработало вот так:


Хрен знает - правильно - не правильно. Решалось методом научного тыка.
Загрузка упала до max 40%. Напрягает количество блокируемых пакетов - 1 000 000 за 1,5 часа.

Это нормально. Я даже видео на тел снимал с какой скоростью счетчики дропают пакеты. Потом отстанут от Вас, и правило замолчит. не переживайте)

[alex777good]

Я всё понимаю, но из соображений безопасности (элементарных), приходится очень тщательно подходить к выкладыванию какой-либо конфиденциальной информации (внешний Ip, название провайдера и т. д.). В данный момент занимаюсь "зачисткой" конфига микрота. Не знаю, буду ли сюда выкладывать, но в любом случае спасибо большое всем за помощь.

[alex777good]

Это нормально. Я даже видео на тел снимал с какой скоростью счетчики дропают пакеты. Потом отстанут от Вас, и правило замолчит. не переживайте)

Успокоил спасибо. Но будем ещё думать о снижении загрузки.

[Vlad-2]

Я всё понимаю, но из соображений безопасности (элементарных), приходится очень тщательно подходить к выкладыванию какой-либо конфиденциальной информации (внешний Ip, название провайдера и т. д.). В данный момент занимаюсь "зачисткой" конфига микрота. Не знаю, буду ли сюда выкладывать, но в любом случае спасибо большое всем за помощь.

Мы просим конфиг, а не белый адрес и название провайдера. Хотя и эта информация мягко говоря ничего не даст.
От названия провайдера можно частично понять что или какой тип протокола используется для подключения,
и то, у одних крупных провайдерах в одних районах и городах один тип подключения, в других - другой.
Так что Ваша фраза про безопасность данных - честно, насмешили меня.

В конфиге достаточно скрыть пароли, белые адреса если есть, ну и МАКи (и то это я считаю это лишним) и всё.
Без конфига давать советы, всё равно что лечиться у врача, ничего ему не говоря.
Увы, но помощь без диалога не бывает.

P.S.
Мой конфиг роутера уже с 1,3 мегабайта весит, там много чего нахимичено, и если мне его и показывать,
я кроме паролей, и адресов, скрою ещё и комментарии, ибо у меня в комментариях написано
куда какой интерфейс/туннель на кого подключён (имя человека) и так далее, вот там да, лично-интимная информация.
А конфиг, конфигурация = это набор правил как должен работать роутер.
Так что разделяйте приватную и общую информации.

Так же не забываем, что есть команда которая делает экспорт с полным удалением приватной информации.