[研究所] MikroTik RouterOS 學習 (持續更新) (第580頁)

gfx
個人積分：1603分
文章編號：64882489

1603分

5791樓

2017-06-28 18:33

globalstu wrote:
請問，在routeos...(恕刪)

您的mail server應該只在台灣使用吧.
是如此的話您可以先匯入台灣ip清單(TaiwanIPList),
然後nat映射再加上src-address-list=TaiwanIPList

這樣dstnat就被限制在TaiwanIPList ,大輻降低mail server被攻擊的機率.

globalstu

globalstu
個人積分：0分
文章編號：64883254

0分

5792樓

2017-06-28 20:09

gfx wrote:
您的mail server...(恕刪)

g大，謝謝你的方法(目前已加入使用)；

另外，我在 Address Lists中有一個一個加入drop ip，

在Filter Rules中加入一條 input chain 針對mail server ip &port，把drop ip 加至Src.Address List內，

但這規格都沒作用(因為packets都是0)，

請問是我設定錯誤嗎？謝謝

gfx

gfx
個人積分：1603分
文章編號：64883770

1603分

5793樓

2017-06-28 21:03

globalstu wrote:
g大，謝謝你的方法...(恕刪)

錯大了～
chain=forward ,不是chain=input
chain=input代表目地端的是您的router ,而不是旗下的電腦(含伺服器).

globalstu

globalstu
個人積分：0分
文章編號：64884764

0分

5794樓

2017-06-28 22:34

gfx wrote:
錯大了～chain...(恕刪)

g大，謝謝你的說明，看來我對routeos觀念還不夠清楚。

mudder

mudder
個人積分：17分
文章編號：64889354

17分

5795樓

2017-06-29 10:49

gfx wrote:
應該不會有影響,腳...(恕刪)

感恩g大，昨天腳本跑了就建立完了，
只是pppoe-out2~5拿到的ip，沒辦法連VPN，
不過如果我先連了pppoe-out1的VPN，就可以再連pppoe-out2~5的任一VPN了...

比如說，
如果我要直接連pppoe-out2拿到的ip，
log裡會出現
phase1 negotiation failed due to time up pppoe-out2的ip[500]<=>我這邊的ip[port]
這行

請問這是被firewall policy擋掉了嗎？

gfx

gfx
個人積分：1603分
文章編號：64890233

1603分

5796樓

2017-06-29 11:40

mudder wrote:
感恩g大，昨天腳本...(恕刪)

您試ping pppoe-out2~pppoe-out5的ip ,看有沒有反應.
若有反應則代表腳本建置rule的過程沒有問題;
若ping不到ip ,我可能需借您的winbox帳/密/地址連線察查.

mudder

mudder
個人積分：17分
文章編號：64890386

17分

5797樓

2017-06-29 11:49

gfx wrote:
您試ping pppoe...(恕刪)

連上pppoe-out1的VPN後ping得通，
不連VPN的話ping不通..

看來是防火牆把外部input的擋掉了?

gfx

gfx
個人積分：1603分
文章編號：64890908

1603分

5798樓

2017-06-29 12:25

mudder wrote:
連上pppoe-out1...(恕刪)

您可以將firewall filter的規則全關閉,再試ping看看

mudder

mudder
個人積分：17分
文章編號：64916150

17分

5799樓

2017-07-01 14:04

請問，
我的router有時候會當機，
watchdog也救不回來，只能靠人工斷電重啟
今天用profile一看，

NAME CPU USAGE
unclassified all 100%

這個是怎麼一回事...

另外我一直遇到有一個在攻擊的，
請問unclassified 100%會跟這個有關嗎？

gfx

gfx
個人積分：1603分
文章編號：64921876

1603分

5800樓

2017-07-02 1:57

mudder wrote:
請問，我的router...(恕刪)

除非您是被鎖定集中攻擊的對象,每秒數千的連線進入.
不然firewall filter封鎖佔資源吃的很低.

但...我覺得開啟log應該也會佔住些資源.您把封鎖的這規則log關閉看能不能改善些.