مصرف خود به خود حجم اینترنت و جلوگیری از آن توسط میکروتیک

[javadkey]

با سلام
کانکشن اینترنت اداره در میکروتیک قرار دارد که آی پی استاتیک هم داریم. اینترنت حجمی میباشد. اما مشکلی که پیش اومده اینه که حجم اینترنت خود به خود مصرف میشه مثلا روزی که کلا اداره تعطیله و کسی در اداره نیست و به هیچ عنوان ما از اینترنت استفاده نمی‌کنیم روزانه 500 مگابایت که نصف دانلود و نصف آپلود نشون میده. در حالی که من کلا ارتباط همه سرورها رو از اینترنت قطع کردم که در روزهای تعطیل کلا و در بقیه روزها از شب تا صبح حتی یک بایت هم ما مصرف اینترنت نداریم ولی خود به خود آپلود دانلود داره اونم نه در حد بایت و کیلو بایت بلکه چند 100 مگابایت که در طول 24 ساعت به حدود 1 گیگ هم میرسه. البته در میکروتیک در قسمت فایروال و قسمت کانکشن همش آیپی های مختلفی هستند که نشون میده همش با آی پی استاتیک ما در حال ارتباط و رد و بدل برحسب بایت و کیلو بایت هستند. که آی پی مقابل یک آی پی نیست بلکه چندین آی پی متفاوت هستند. من یک رول input در فایروال میکروتیک ایجاد کردم و همه ورودیها رو به آی پی استاتیک بسته ام ولی بازهم همون مشکل هست . به نظرتون مشکل از چی میتونه باشه؟

---

موضوعات مشابه:

• دسترسی نداشتن به میکروتیک توسط کاربران متصل به یک پورت میکروتیک
• اتصال میکروتیک به مودم ADSL به صورت وایرلس و گسترش اینترنت توسط میکروتیک
• دادن اینترنت جداگانه به کلاینت ها توسط میکروتیک
• چگونه سایت های بازدید شده توسط کاربران در میکروتیک میشه ذخیره کرد
• مشکل در دریافت اینترنت توسط میکروتیک

---

[love_inrai]

درخواست dns از اینترنت به روترتون رو ببندین هم tcp هم udp احتمال زیاد درست میشه

[javadkey]

درخواست dns از اینترنت به روترتون رو ببندین هم tcp هم udp احتمال زیاد درست میشه

قبلا یک rule در فایروال از نوع input نوشتم که همه پورتها به طرف آی پی استاتیک که همون روتر باشه رو drop کردم. بازم این مشکل هست. ضمنا ما در شبکه یک dns server هم داریم که در میکروتیک یک dst-nat نوشتیم که درخواستهای dns وارده به میکروتیک رو به این سرور dns هدایت میکنه. ضمنا شما گفتید پورت dns. در قسمت fierwall میکروتیک ودر تب connection آی پی هایی که گفتم با میکروتیک در حال ارتباط و رد و بدل دیتا هستند پورتشون 53 یا همون پورت dns نیست و پورتهای مختلفی هستند که مشخص هم نیست که پورتها برای چه کاری هستند . هر عددی هستند مثلا پورت ۵۰۵۳

[shahani]

اگه هات اسپات دارید روی میکروتیک خوب تا زمانی که کسی لاگین نکنه امکان استفاده از اینترنت رو نخواهد داشت و اگه لاگین بشه که مشخص میشه چه دستگاه هایی استفاده دارند .
و بعد از اون ارتباط تمام سویچ ها و هاب ها رو با اینترنت بلاک کنید بوسیله هات اسپات ، چون ممکنه ارتباط های الکی زیادی ایجاد کنن .

علاوه بر بستن Input ها از روی شبکه اینترنت به میکروتیک تیک مربوط به ریموت ریکوست را بردارید.


اجازه ندین پاکت های درون شبکه ای به سمت درگاه اینترنت هدایت بشن ، وقتی از هات اسپات استفاده نکنید و ارتباط مستقیمی برقرار باشه ... مشخصه که چنین اتفاق هایی اجتناب ناپذیر هست.

[javadkey]

اگه هات اسپات دارید روی میکروتیک خوب تا زمانی که کسی لاگین نکنه امکان استفاده از اینترنت رو نخواهد داشت و اگه لاگین بشه که مشخص میشه چه دستگاه هایی استفاده دارند .
و بعد از اون ارتباط تمام سویچ ها و هاب ها رو با اینترنت بلاک کنید بوسیله هات اسپات ، چون ممکنه ارتباط های الکی زیادی ایجاد کنن .

علاوه بر بستن Input ها از روی شبکه اینترنت به میکروتیک تیک مربوط به ریموت ریکوست را بردارید.


اجازه ندین پاکت های درون شبکه ای به سمت درگاه اینترنت هدایت بشن ، وقتی از هات اسپات استفاده نکنید و ارتباط مستقیمی برقرار باشه ... مشخصه که چنین اتفاق هایی اجتناب ناپذیر هست.

تیک گزینه ای که در عکس نمان دادید زده نشده هست
اما من منظورتون رو از 2 جمله متوجه نشدم : 1-

ارتباط تمام سویچ ها و هاب ها رو با اینترنت بلاک کنید بوسیله هات اسپات 2- جازه ندین پاکت های درون شبکه ای به سمت درگاه اینترنت هدایت بشن
برای این2 مورد دقیقا باید چیکار کنم؟
وقتی تمامی input ها از اینترنت به میکروتیک رو drop میکنم هات اسپات به یه مشکلی بر میخوره. در هات اسپات وقتی که کاربران شبکه وایرلس رو پیدا میکنند صفحه لاگیت هات اسپات اتوماتیک بالا میاد و یا وقتی کاربر بعد از کانکت به شبکه وایرلس در مرورگر یک آردسی رو میزنه بازهم صفجه لاگیت هات اسپات اتوماتیک بالا میاد تا کاربر یوزر . پسوردشو وارد کنه . و با drop کردن تمانی input ها از اینترنت به میکروتیک دیگه صفحه لاگین هات اسپات اتوماتیک بالا نمیاد و کاربر باید دستی آدرس صفحه لاگین رو وارد کننه

[shahani]

input ها رو شما باید فقط در پورت اینترنت مسدود کنید اگه نیاز هست ، اگرم نیست که اصلا مسدود نکنید.
شما حتما ورودی های کاربر رو هم مسدود میکنید که لاگین انجام نمیشه ؛ اگه نه مودم رو قطع کنید یا اصلا خاموش ، باز هم صفحه لاگین هات اسپات اجرا خواهد شد.
اکثر ترافیک مصرفی اینترنت از روی روتر فروارد میشه و استفاده میشه درنتیجه اون chain input خیلی اثر گذار نیست.

به عنوان نمونه سویچ Tp-link وظیفه اتصال چندتا دستگاه رو در لایه دو برای شبکه من داره ، اما دائم برای بروزرسانی ساعت و غیره با اینترنت ارتباط برقرار میکنه و یا اینکه نشان دهد سویچ اینترنت دارد و یا نه ، دائم پینگ ارسال میکنه به گوگل و غیره .
خوب اینها ضروری نیستند من اومدم ارتباط سویچ ها رو با اینترنت قطع کردم و همزمان به خوبی کار مورد نظر خودشون رو انجام میدن .


اگر از سرویس دهی تریال استفاده میکنید بررسی کنید در روز های تعطیل کاربری بصورت هوایی از شبکه استفاده نکنه و اگه چنین کاربرهایی وجود دارن میتونید مسدودشون کنید.



اگه از یوزرمنیجر میکروتیک استفاده کنید ؛ خوب دقیقا لاگ برداری انجام میشه و مشخص میشه چه کاربر و چه دستگاهی از چه ساعت تا چه ساعتی به اینترنت متصل بوده و چه مقدار ترافیک مصرف کرده .


این مصرف ها رو یک جمع نهایی بزنید و با مقدار مصرفی کلی در پنل اینترنتی و یا داده رد و بدل شده در اینترفیس های میکروتیک مقایسه کنید؛ مشخص خواهد شد چه مقدار ترافیکی رو کاربران مصرف میکنن .
و چه مقدار ترافیکی وجود داره که بدون کنترل روی اون ممکنه هدر بشه و بعد از بررسی دقیق و لاگ برداری های مختلف میتونید مسئله رو در شبکه خودتون حل کنید.

- - - ادامه - - -

برای اینکه صفحه لاگین به خوبی باز بشه از DNS Server خود میکروتیک استفاده میشه که بعد از ساخت هات اسپات بجای نام صفحه لاگین آدرس ip میکروتیک در بخش استاتیک DNS سرور میکروتیک ذخیره میشه .


حالا اگه شما یک DNS سرور دیگه بر روی شبکه خودتون دارین که کاربرها عملیات دریافت DNS رو از روی اون انجام میدن لازم هست که شما بصورت دستی و استاتیک خط مربوط به لاگین هات اسپات رو در اون DNS سرور وارد کنید .
به عنوان مثال دامین shahaniNetworks.local به آدرس ip میکروتیک 192.168.2.1 متصل گردد.

- - - ادامه - - -

برای مسیر یابی و اتصال شبکه داخلی خودتون به اینترنت نیز دو کار نیاز هست.
اول اینکه یک روت استاتیک به ip مودم ایجاد کنید که بطور پیشفرض تمام پاکت های ارتباطی رو به اون منتقل کنه :



و بعد از اون در فایروال بخش NAT یک رول برای NAT کردن و اتصال تمامی شبکه به اینترنت ایجاد کنید .
این رول باید پایین تر از رول های هات اسپات باشه و برای اینکه اطمینان پیدا کنید که تمامی ترافیک شبکه از طریق این رول به اینترنت منتقل میشه .
اگه اون رو غیر فعال کنید باید ارتباط کل شبکه بطور کامل با اینترنت قطع بشه .


اگه شیوه متصل کردن کاربران به اینترنت ، روشی غیر این باشه کنترل ترافیک مصرفی بوسیله روتر امکان پذیر نخواهد بود.

[shahani]

شما همون شخصی نبودین که برای تفکیک ترافیک داخل از اینترنت سوال کرده بودین ؟
وقتی رول های فست فوروارد رو ابتدای بخش فیلتر فایروال اعمال میکنید تمامی رویه های هات اسپات کنترل سرعت و غیره دور زده میشن .
اگه چنین رول هایی در روتر شما هست حتما دقت کنید که شامل آدرس ip مودمتون در شبکه داخلی نشه .


اگه آدرس ip مودم شما در رول های مربوطه وجود داشته باشه ؛ انتقال اطلاعات با مودم در کانتر هات اسپات ثبت نمیشه ؛ چون از تمام رویه های هات اسپات به این شیوه پرش زده میشه .
رول ها رو جوری تغییر دهید که آدرس مودم شما جزو اتصال های سریع و کوتاه درون شبکه ای نباشه .

- - - ادامه - - -

و همینطور در قسمت Walled Garden هات اسپات بررسی کنید رنج هایی که بدون لاگین توانایی ارتباط برقرار کردن دارند ؛ ادرس مودمتون رو شامل نشه.