Элтекс

Приветствую.


Эти сообщения в логе совпадают со всплесками загрузки процессора:

Интерфейс te1/0/4 это аплинк. Через него проброшено несколько десятков vlan.
Подскажите, есть ли возможно более детально отследить источник атаки? Узнать vlan или mac? Может как-то через debug режим?

Коммутатор MES-3324F
FW:

Здравствуйте.
В текущей версии ПО данной возможности не предусмотрено.

Сообщите свои контактные данные(почту) и название организации в ЛС.
На сколько для Вас критично отсутствие данного функционала?

Здравствуйте.

Можно повесить на коммутатор management acl и разрешить доступ только на определённые интерфейсы коммутатора.
Если интерфейсы запрещать по одному, то можно вычислить в каком влане отправляются на коммутатор TCP-SYN.

Пример настройки management acl:
http://kcs.eltex.nsk.ru/articles/849

Приветствую.
Контактные данные отправил в ЛС

management access-list имеется:

На интерфейсе te1/0/4 есть пачка vlan, к примеру 10,20,30,40,50,60 и т.д.
Насколько я понял, можно по очереди создавать ip интерфейсы в этих vlan. И когда я угадаю vlan свич сообщит об атаке в лог? Так?

komp писал(а):Насколько я понял, можно по очереди создавать ip интерфейсы в этих vlan. И когда я угадаю vlan свич сообщит об атаке в лог? Так?

Можно и так попробовать.

Но я имел ввиду немного другое, именно с помощью management acl запрещать по очереди вланы и ждать, когда прекратится атака.

Андрей Есман писал(а):На сколько для Вас критично отсутствие данного функционала?

У нас возникла подобная ситуация, MES5324.
Хотелось бы получить mac или ip-адрес, а лучше и то и другое.
VLANов нет, порт в режиме access, и тоже аплинк.

Здравствуйте.

Функционал будет доступен в ближайшем релизе 4.0.15, ориентировочный срок выхода которого - середина августа.
Если хотите получить релиз по готовности, прошу завести заявку по форме https://eltex-co.ru/support/

Спасибо, ждем с нетерпением!

Добрый день

Подскажите, эта ошибка (A TCP SYN Attack was identified on port) говорит, что TCP SYN Attack (по мнению коммутатора) идет именно на ip-адреса, которые на коммутаторе заведены? Или вообще проходящий трафик?

Если у нас на коммутаторе заведены 5 ip-адресов (для шлюзов по умолчанию), то "атака" идет именно на эти адреса, либо на менеджмент-адрес, верно?

Здравствуйте.

Приложите пожалуйста show ver с коммутатора. Спрашиваю в связи с тем, что до версии 4.0.14 функционал был реализован не совсем корректно и анализировал весь трафик с DST MAC коммутатора (а если у вас коммутатор и шлюзом является для абонентов, то соответственно весь этот трафик будет анализироваться). Если версия ПО у вас младше 4.0.14, то рекомендую сразу обновиться на актуальную 4.0.14.3 и перепроверить наличие данных логов. Если останутся, то атака идёт на коммутатор. Если исчезнут, то дело было в вышеуказанных правках.

Здравствуйте, Евгений

Спасибо за ответ. Версия ПО сильно меньше (4.0.10.1). Будем обновляться.