Защита от DoS атак на роутерах Mikrotik и Router OS

DoS (отказ в обслуживании) атаки могут привести к перегрузке маршрутизатора. Это означает, что загрузка процессора возрастает до 100%, а маршрутизатор может стать недоступным.

Вообще нет идеального решения  для защиты от атак DoS. Каждый сервис может стать перегруженым от слишком дольшого колличества запросов. Но есть некоторые методы для сведения к минимуму последствий атаки.

Установить более мощный маршрутизатор или сервер.
Расширить входящий канал.
Уменьшите количество правил брандмауэра, очереди и другие действия обработки пакетов
Отслеживание пути атаки и блокировать его ближе к источнику (на стороне вышестоящего провайдера).

Диагностика DoS атаки на роутере миротик. (TCP SYN flood)

Проверяем  не слишком ли много связей с SYN-SENT настоящее время?

/ip firewall connection print

Проверфем не слишком ли много пакетов в секунду происходит через интерфейс?

/interface monitor-traffic ether2

Проверяем загрузку процессора 100%?

/system resource monitor

Проверяем колличество подозрительных соединений.

/tool torch

Защита от таких атак.

Лимит входящих соединений.


Если с одного IP адреса подключений больше лимита, то этот IP попадает в "черный список" и в дльнейшем блокируется.
/ip firewall filter add chain=input protocol=tcp connection-limit=LIMIT,32  \
action=add-src-to-address-list  address-list=blocked-addr address-list-timeout=1d 

Где LIMIT - максимальное количество соединений в определенного IP. Предел должен быть от 100 и выше, так как многие услуги, используют несколько соединений (HTTP, Torrent, и другие P2P-программы).

Опция tarpit

Вместо того чтобы просто удалять пакеты атакующего, маршрутизатор может захватить и удерживать соединения и с достаточно мощным маршрутизатором это может замедлить скорость атаки.


/ip firewall filter add chain=input protocol=tcp src-address-list=blocked-addr \
connection-limit=3,32 action=tarpit 


SYN Фильтрация

Некоторые расширенные возможности фильтрации может влиять на состояние пакетов TCP.


/ip firewall filter add chain=forward protocol=tcp tcp-flags=syn connection-state=new \
action=jump jump-target=SYN-Protect comment="SYN Flood protect" disabled=yes
/ip firewall filter add chain=SYN-Protect protocol=tcp tcp-flags=syn limit=400,5 connection-state=new \
action=accept comment="" disabled=no
/ip firewall filter add chain=SYN-Protect protocol=tcp tcp-flags=syn connection-state=new \
action=drop comment="" disabled=no

«syn limit = 400" является лимитом пакетов, просто включите правило в цепочке первым для пакетов SYN, чтобы пакеты удалялись (для избежания чрезмерного количества новых подключений)


SYN cookies

/ip firewall connection tracking set tcp-syncookie=yes

Mikrotik RouterOS Firewall IPv6 manual

IPv6 уверенно входит в нашу жизнь и на просторах русскоязычного сообщества вот вот появятся провайдеры работающие только на IPv6.
В связи с этим небольшой ман по настройке firevall для протокола IPv6 на RouterOS.

Sub-menu: /ipv6 firewall filter

1)   action (accept | add-dst-to-address-list | ...; Default: accept)

Возможные параметры:

• accept - пропустить пакет..
• add-dst-to-address-list - добавить IP получателя в address list.
• add-src-to-address-list - добавить IP отправителя в address list.
• drop - удалить пакет.
• jump - Перейти к пользовательской цепочке правил или применить jump-target параметр.
• log - добавить сообщение в системный лог. 
• passthrough - игнорировать данное правило и перейти к следующему.
• reject - удалить пакет.  и отправить ICMP отчет об удалении.
• return - Passes control back to the chain from where the jump took place.

2) address-list (; Default: )
3) time (; Default: )