MikroTik: nastavení limitu pro ICMP

MikroTik: nastavení limitu pro ICMP
« kdy: 05. 02. 2022, 18:22:40 »
Zdravím, prosím poradí mi někdo, jak efektivně (nejlépe v jednom pravidle) nastavit maximální limit pro PINGy (ICMP pakety) na vstupu?

Nejlépe akceptovat pingnutí třeba jenom jednou za minutu a další pakety / bity neakceptovat. Prostě ochrana před zahlcením PINGy na veřejné adrese...

Já už fakt nevím... zkoušel jsem půl dne všechno možné v limit, connection limit, dst limit... asi dostatečně nechápu logiku tvůrce té limit logiky Mikrotiku:-) Ať tam nastavím cokoliv, tak buď to funguje nějak úplně blbě, nebo to nefunguje vůbec.

Díky moc.
« Poslední změna: 05. 02. 2022, 19:05:36 od Petr Krčmář »


Medo77

  • ****
  • 288
    • Zobrazit profil
    • E-mail
Re:MikroTik: nastavení limitu pro ICMP
« Odpověď #1 kdy: 05. 02. 2022, 21:59:05 »
Toto ?

https://wiki.mikrotik.com/wiki/Manual:IP/Settings

icmp-rate-limit (integer [0..4294967295]; Default: 10)    
Limit the maximum rates for sending ICMP packets whose type matches icmp-rate-mask to specific targets. 0 to disable any limiting, otherwise the minimum space between responses in milliseconds.

Re:MikroTik: nastavení limitu pro ICMP
« Odpověď #2 kdy: 05. 02. 2022, 23:57:21 »
Děkuji moc za nápad, já jsem měl na mysli přímo v pravidlech (stromečku) ve firewallu - tedy v pravidlu, které akceptuje ping (ICMP pakety). V záložce extra tam potom je Limit . Zde se dá nastavit limit paketů nebo bitů za sekundu, minutu, hodinu a burst - to je kolik paketů to nezapočítá.

Chybu už jsem objevil - když jsem zkoušel pingovat a trápil se s tím, proč to pingy neodmítá, tak jsem si neuvědomil, že ty další pingy už to bere jako estabilished a odbaví se to rovnou prvním pravidlem ve FW nahoře. Proto ty limity u ping pravidla níže nefungovaly. K prvnímu pravidlu esabilished, related, untracked jsem tedy přidal protokol !ICMP (odbaví to všechno kromě ICMP). ICMP potom vždy musí až tím svým pravidlem, které ho povoluje. Už se zdá, že to nějak funguje. Pokud se např. nastaví 1 paket / minutu a burst 4 pakety, tak to na první ping odpoví klasicky 4 odpovědi (pakety) na druhý ping jenom jeden (3 další ztraceny) a na další pingy už ztraceno všechno. Potom je potřeba počkat minimálně tu minutu a potom na první ping přijdou opět všechny 4 odpovědi. Stejně by se to asi chovalo ne s pakety ale bity.... ještě to chce odladit, vymyslet hodnoty těch limitů, ale aspoň nějak to funguje.....
Tak třeba to také někomu pomůže a díky.
« Poslední změna: 05. 02. 2022, 23:59:42 od martin1332 »