Почему мы ничего не пишем про "защиту" от DDoS и прочую подобную ерунду на Mikrotik?

Время от времени нам задают подобный вопрос, на что мы отвечаем, что даже не собираемся. Почему? Да потому что это не работает.

Причем это касается не только MikroTik, но и остального железа пользовательского и начального уровня, включая x86 сервера.

Все это можно читать сугубо от нечего делать в одном небольшом спокойном кабинете, уединившись там по неотложным делам.

А помочь это может сугубо в одном случае - если вас решил атаковать кружок юных хакеров начальных классов при сельском клубе.

В остальных случаях вы только зря потратите время, а, возможно, и деньги.

Сегодня одного заказчика серьезно заДДоСили, положили канал в 100 Мбит/с и RB4011 на нем. Половину дня его представитель еще что-то пытался делать сам, хотя мы сразу сказали — это безнадежная задача.

К обеду убедился. Провайдер развел руками и сказал, что ничего предложить не может, не располагает возможностями.

В итоге обратились в Ростелеком, чей канал на территории есть, но не используется.

Там выслушали, спросили про оконечное оборудование, посмеялись и предложили два варианта.

🔹 Защита от них, примерно 30 тыс. руб. месяц.

🔹 Eltex ESR-20 FSTEC - цена вопроса примерно 500 тыс. руб. Срок поставки от месяца. И поставят они его у себя.

А из всех советов полезным оказался только один, от того же безопасника из РТ: поставить для входящего трафика на внешнем интерфейсе простую очередь, начиная от 1-2 Мбит/с и при необходимости увеличивая.

Атаку это не отобьет, но хотя бы позволит как-то работать роутеру, а вам анализировать ситуацию.
 
Но если брать ситуацию по факту, то вы или платите за защиту провайдеру, или сидите и рассматриваете пакеты в Wireshark, когда ваши сервисы лежат. Альтернативой можете купить провайдеру за свой счет железку.
 
Почему? А потому что трафик к вам уже пришел, и он полностью забил весь канал, пытаться как-то его обработать – это выстрел себе в голову. Мы сделаем только хуже и увеличим нагрузку на оконечное оборудование.