วิธีตั้งค่า MikroTik RAW Filter Rules ป้องกัน DDoS Attack สำหรับองค์กร

ปัญหาหน้างานจริง: องค์กรถูก DDoS จนเครือข่ายล่ม

ในคืนวันศุกร์ที่ผ่านมา บริษัทผู้ให้บริการสตรีมมิ่งรายหนึ่งติดต่อเราด่วน หลังจากพบว่าทราฟฟิกของระบบมีการพุ่งสูงผิดปกติ ส่งผลให้ระบบเครือข่ายไม่สามารถให้บริการลูกค้าได้ วิศวกรทีม SIAM-LOGIN ได้ลงพื้นที่เพื่อตรวจสอบและพบว่าระบบกำลังเผชิญหน้ากับการโจมตีแบบ DDoS (Distributed Denial-of-Service) โดยโจมตีผ่านพอร์ต UDP และ ICMP อย่างหนักหน่วง โซลูชันที่เหมาะสมที่สุดคือการตั้งค่า RAW Filter Rules บน MikroTik RouterOS v7 เพื่อป้องกันทราฟฟิกที่เป็นอันตรายก่อนเข้าสู่กระบวนการประมวลผลของ CPU

สเปกฮาร์ดแวร์ที่ใช้สำหรับการป้องกัน DDoS

สำหรับงานนี้เราเลือกใช้อุปกรณ์ MikroTik CCR2004 เนื่องจากมีประสิทธิภาพ CPU ARM64 ระดับสูง รองรับ Throughput ถึง 10Gbps และมีอินเทอร์เฟซ 10G SFP+ จำนวน 4 พอร์ต ซึ่งเหมาะสำหรับองค์กรที่มีการใช้งาน Bandwidth สูง

Raw Filter Rules ต่างจาก Filter Rules ปกติอย่างไร?

RAW Filter Rules ใน MikroTik RouterOS v7 ทำงานในระดับ Preconnection Tracking หรือก่อนที่จะเข้าสู่กระบวนการ Connection Tracking ของ Firewall ซึ่งช่วยลดภาระของ CPU เมื่อเทียบกับ Filter Rules ปกติ โดยเหมาะสำหรับการ Drop ทราฟฟิกที่ไม่ต้องการ เช่น DDoS Attack หรือทราฟฟิกจากบอทที่พยายามโจมตีระบบ

คำสั่ง CLI สำหรับตั้งค่า RAW Filter Rules ป้องกัน DDoS

/ip firewall raw
add chain=prerouting action=drop protocol=udp src-port=0-19,65500-65535 comment="Drop UDP with invalid ports"
add chain=prerouting action=drop protocol=icmp comment="Drop ICMP to mitigate ping flood"
add chain=prerouting action=drop src-address-list=blacklist comment="Drop all traffic from blacklisted IPs"

/ip firewall address-list
add list=blacklist address=192.0.2.0/24 comment="Example Blacklist"

คำอธิบายพารามิเตอร์:

• chain=prerouting: กำหนดให้ RAW Filter ตรวจสอบทราฟฟิกที่เข้ามาก่อน Connection Tracking
• action=drop: ดำเนินการ Drop ทราฟฟิกที่ตรงตามเงื่อนไข
• protocol=udp: ระบุว่าเป็นทราฟฟิก UDP
• src-port=0-19,65500-65535: กำหนดช่วงพอร์ตต้นทางที่ไม่เหมาะสม
• src-address-list=blacklist: ใช้ Address List สำหรับบล็อก IP ที่ไม่ต้องการ

ขั้นตอนตรวจสอบสถานะและแก้ไขปัญหา

1. ตรวจสอบการทำงานของ RAW Filter

/ip firewall raw print stats

คำสั่งนี้จะแสดงสถิติของกฎที่ตั้งค่าไว้ เช่น จำนวนทราฟฟิกที่ถูก Drop

2. ทดสอบด้วยเครื่องมือ Torch

/tool torch interface=all

ช่วยตรวจสอบว่ามีทราฟฟิกผิดปกติที่ยังคงหลุดรอดเข้ามาหรือไม่

3. ตรวจสอบ Log

/log print where topics~"firewall"

ช่วยดูข้อมูลเกี่ยวกับทราฟฟิกที่ถูกบล็อก

FAQ

• Raw Filter บน MikroTik ต่างจาก Filter Rules ปกติอย่างไร? Raw Filter ทำงานในระดับ Preconnection Tracking เพื่อลดภาระ CPU
• วิธีป้องกันการโดน Brute Force แฮกพาสเวิร์ด WinBox และ SSH? ใช้ Address List เพื่อบล็อก IP ที่พยายามเชื่อมต่อผิดพลาดบ่อยครั้ง
• ทำไมสคริปต์ Firewall ของ SIAM-LOGIN จึงมีกฎ Fasttrack? เพื่อเพิ่มประสิทธิภาพการประมวลผลแพ็กเก็ตในเครือข่ายที่ปลอดภัย

สำหรับการตั้งค่าที่ซับซ้อนเพิ่มเติม หรือต้องการวางระบบเครือข่ายใหม่ สามารถติดต่อ บริการรับวางระบบ Network องค์กร หรือ ระบบจัดเก็บ Log ตาม พ.ร.บ. คอมพิวเตอร์ กับทีมวิศวกร SIAM-LOGIN ได้ทันที