Просмотр кода страницы Mikrotik. Блокировка DDOS атакующих по протоколу HTTP(S) на Mikrotik

== Настройка ==
Ловим флудящие запросы и помещаем src-ip в адрес-лист

'''''address-list=_HTTP_FLOOD''''' - адрес лист, в который помещаем IP атакующего

'''''connection-limit=50,32''''' - правило срабатывает при 100 входящих соединениях от IP адреса (с маской 32) в течение 1 секунды

'''''dst-port=80,443''''' - порты http/https

'''''in-interface=ether3-wan1''''' - внешний входящий интерфейс ля соединений

'''''chain=forward''''' - блокируем проходящие через DST-NAT соединения, так как HTTP сервер находится за NAT в локальной сети, а не на самом mikrotik

<code>/ip firewall mangle</code>

<code>add action=add-src-to-address-list address-list=_HTTP_FLOOD address-list-timeout=1h chain=forward comment=HTTP_FLOOD_MANGLE connection-limit=100,32 connection-state="" dst-port=80,443 \</code>

<code>   in-interface=ether3-wan1 log=yes log-prefix="===_HTTP_FLOOD" protocol=tcp</code>

Дропаем 80,443/tcp от src-ip из адрес-листа

<code>/ip firewall filter</code>

<code>add action=drop chain=forward comment=_HTTP_FLOOD_DROP dst-port=80,443 in-interface=ether3-wan1 protocol=tcp src-address-list=_HTTP_FLOOD</code>

== Проверка ==
На любой машине Linux из внешней сети

<code>yum install hping3</code>

'''''-S''''' - отправляем SYN пакеты

'''''-p 80''''' - порт 80

'''''-i u20''''' - ждем 20 микросекунд между пакетами = 100 пакетов в секунду

<code>hping3 -i u20 -S -p 80 -c 100 domain.ru</code>

На Mikrotik увидим добавление внешнего адреса атакующего в адрес-лист.

С атакующей машины увидим закрытие портов 80,443 на сервере Mikrotik
[[Категория:DDOS]]
[[Категория:Mikrotik]]
__ОБЯЗАТЕЛЬНОЕ_ОГЛАВЛЕНИЕ__