firewall gre igmp

разве igmp умеет сквозь нат? просто выключи и все.

reject на внешнем интерфейсе - зло!

Если к тебе свалится мультикаст, то вместо тихого дропа будет ты будешь генерить ответные пакеты. Это точно будет нагружать твой мипс.

reject полезен против tcp в локальной сети.

делай drop для всего кроме tcp, udp, icmp, в обе стороны

выключил т.к. если он включён разгрузка не работает, пакеты igmp все равно иногда очень редко, но приходят

пакетов igmp gre приходит 60MiB за 50суток, я подумал если сделать drop, то по таймауту отключение дольше будет и придет больше пакетов в итоге

Гм, а ты думаешь, что получив reject они перестанут слать пакеты?

Хуже того, тебе будут приходить gre-пакеты с левым src, а ты будешь на этот левый src отправлять reject. Оно тебе нужно?

Отсылать на каждый левый пакет reject - зло.

reject полезен только в своей локальной сети.

с левым src

исключительно drop нужен, подойдёт лимит?

пакетов igmp gre приходит 60MiB за 50суток

это всех отброшенных включая igmp gre tcp udp, не то смотрел.
igmp 1070KiB / 34k packet, gre 450KiB / 800 packet

https://help.mikrotik.com/docs/pages/viewpage.action?pageId=28606504

Эта хрень может разгрузку отключть и подгорит еще больше.
Вообщем тупо все дропаю и tcp и udp кроме точно нужного.

кто может это объяснить?
порт 36118 рандомный исходящий так понимаю, ip изменил

detect-ddos: in:bridge-lan out:pppoe-wan, src-mac mac:но:ут:а, proto UDP, 192.168.0.23:36118->6.9.4.2:443, NAT (192.168.0.23:36118->5.1.7.4:36118)->6.9.4.2:443, len 377

in:pppoe-wan out:pppoe-wan это что такое?

forward: in:pppoe-wan out:pppoe-wan, src-mac cc:bb:ff:55:44:33, proto UDP, 212.53.40.40:5060->10.64.239.66:42921, NAT 212.53.40.40:5060->(1.1.1.1:42921->10.64.239.66:42921), len 556