Ataque RB

[angelomartins]

Bom Dia.

Pessoal estou sofrendo ataque de alguns ip,

criei a seguinte regra para bloqueio desses ips.

/ip firewall Filter
Chain: Forward
Dst address: ip que esta atacando.
Action: DROP

/ip firewall Filter
Chain: Input
Dst address: ip que esta atacando.
Action: DROP

mais não esta funcionando, qual será o problema ? esta faltando alguma coisa na regra ?

Obrigado,

Angelo

[trober]

Bom Dia.

Bom dia Angelo.

mais não esta funcionando, qual será o problema ? esta faltando alguma coisa na regra ?

Suas regras estão 'viradas'. O IP do atacante é 'source address'. 'Destination address', nessa situação, é você.

Pessoal estou sofrendo ataque de alguns ip,

criei a seguinte regra para bloqueio desses ips.

/ip firewall Filter
Chain: Forward
Dst address: ip que esta atacando.
Action: DROP

/ip firewall Filter
Chain: Input
Dst address: ip que esta atacando.
Action: DROP

Faça a alteração, e nos reporte do resultado.

Saudações,

Trober

[angelomartins]

Trober, Obrigado pela ajuda,

Ja fiz a alteração e mesmo assim não esta pegando os ip. continua sem funcionar.

Obrigado

[michaelbr]

Que tipo de "ataque" você identificou ? E como identificou isso ?

[angelomartins]

na minha interface Wan esta com trafego alto RX 5MB e TX 3MB, e não estou utilizando nada do link. estou pegando os ip externo com maior trafego pelo touch

[michaelbr]

/ip firewall filter add chain=input in-interface=interface_wan action=drop src-address=xxx.xxx.xxx.xxx disabled=no
/ip firewall filter add chain=forward in-interface=interface_wan action=drop src-address=xxx.xxx.xxx.xxx disabled=no

Onde: xxx.xxx.xxx.xxx = ip que está gerando o tráfego malicioso

[trober]

Ja fiz a alteração e mesmo assim não esta pegando os ip. continua sem funcionar.

A ordem das regras influencia no funcionamento. Alguma regra anterior entrou na coincidência (matching) da sua regra de bloqueio, que é posterior. Assim a filtragem não é processada.

É para funcionar, tanto que o colega michaelbr também contribuiu com igual lógica, quanto ao source address.

Saudações,

Trober

[Acronimo]

Informe qual ataque esta sofrendo

ssh? telnet?

[angelomartins]

galera depois de muito quebrar a cabeça um amigo me ajudou e resolvemos o problema

não é bem um ataque, oque estava acontecendo é que tenho proxy Habilitado na RB e o povo externo estava utilizando minha RB como proxy deles,

criei uma regla no filter Bloqueando a porta 3128 para imput e resolveu.

Obrigado a todos pela ajuda.