Protección DDoS en MikroTik: Estrategias Avanzadas para ISPs y WISPs

Ejemplo en MikroTik

Ejemplo 1

/ip firewall address-list
add list=ddos-attackers
add list=ddos-targets
/ip firewall filter
add action=return chain=detect-ddos dst-limit=32,32,src-and-dst-addresses/10s
add action=add-dst-to-address-list address-list=ddos-targets address-list-timeout=10m chain=detect-ddos
add action=add-src-to-address-list address-list=ddos-attackers address-list-timeout=10m chain=detect-ddos
/ip firewall raw
add action=drop chain=prerouting dst-address-list=ddos-targets src-address-list=ddos-attackers

Explicación

Primero, se enviará cada nueva conexión a la cadena específica del firewall donde se detecta el DDoS:

/ip/firewall/filter/add chain=forward connection-state=new action=jump jump-target=detect-ddos

En la cadena recién creada, se agrega la siguiente regla con el parámetro “dst-limit”. Este parámetro se escribe en el siguiente formato:

dst-limit=count[/time],burst,mode[/expire].

Se hará 32 paquetes con un burst de 32 paquetes, basado en el flujo de dirección de destino y origen, el cual se renueva cada 10 segundos. La regla funcionará hasta que se exceda una tasa determinada.

/ip/firewall/filter/add chain=detect-ddos dst-limit=32,32,src-and-dst-addresses/10s action=return

Hasta ahora, todo el tráfico legítimo debería pasar mediante “action=return”, pero en el caso de un ataque DoS/DDoS el búfer de “dst-limit” se llenará y la regla no “capturará” ningún tráfico nuevo.

Aquí entran las siguientes reglas, que se encargarán del ataque. Se comienza creando una lista de atacantes y víctimas que se va a descartar (drop):

ip/firewall/address-list/add list=ddos-attackers
ip/firewall/address-list/add list=ddos-targets
ip/firewall/raw/add chain=prerouting action=drop src-address-list=ddos-attackers dst-address-list=ddos-targets

Con la sección de firewall filter, se añadera a los atacantes en la lista “DDoS-attackers” y a las víctimas en la lista “ddos-targets”:

/ip/firewall/filter/
add action=add-dst-to-address-list address-list=ddos-targets address-list-timeout=10m chain=detect-ddos
add action=add-src-to-address-list address-list=ddos-attackers address-list-timeout=10m chain=detect-ddos

Ejemplo 2 (SYN Flood)

/ip/settings/set tcp-syncookies=yes

La función trabaja enviando paquetes ACK que contienen un pequeño hash criptográfico, el cual el cliente que responde devolverá como parte de su paquete SYN-ACK. Si el kernel no ve esta “cookie” en el paquete de respuesta, asumirá que la conexión es falsa y la descartará (drop).

Ejemplo 3 (SYN-ACK Flood)

Un SYN-ACK flood es un método de ataque que consiste en enviar a un servidor de destino paquetes SYN-ACK falsificados a una alta velocidad.

Dado que el servidor requiere recursos significativos para procesar dichos paquetes fuera de orden (no siguiendo el mecanismo normal de three-way handshake TCP: SYN, SYN-ACK, ACK), puede llegar a ocuparse tanto en manejar el tráfico del ataque que no logre atender el tráfico legítimo, generando así una condición de DoS/DDoS.

En RouterOS, podemos configurar reglas similares a las mencionadas anteriormente, pero específicamente para mitigar un ataque de SYN-ACK flood:

/ip/firewall/filter add action=return chain=detect-ddos dst-limit=32,32,src-and-dst-addresses/10s protocol=tcp tcp-flags=syn,ack

Ejemplo de mitigación en Cisco IOS

ip verify unicast source reachable-via rx
ip cef
interface GigabitEthernet0/1
  ip verify unicast source reachable-via rx

Mitigación en Linux (iptables)

iptables -A INPUT -p tcp --syn -m limit --limit 10/s -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

Buenas prácticas generales

1. Implementar monitoreo en tiempo real con herramientas como Zabbix, Grafana o NetFlow.
2. Segmentar redes para aislar servicios críticos.
3. Usar scrubbing centers o servicios externos de mitigación (ej. Cloudflare, Arbor, Akamai).
4. Simular ataques en laboratorio para validar configuraciones.

Errores Comunes y Cómo Evitarlos

• Bloquear todo el tráfico ICMP: ICMP es necesario para diagnóstico. Mejor limitarlo.
• No usar listas dinámicas: genera sobrecarga en el firewall.
• Configurar reglas en orden incorrecto: el firewall en MikroTik evalúa reglas secuencialmente.

Conclusiones

La protección DDoS en MikroTik es una solución práctica y rentable para ISPs, WISPs y redes corporativas que necesitan defensa contra ataques comunes. Si bien no reemplaza un servicio profesional de mitigación masiva, proporciona una primera línea de defensa eficiente y adaptable.

Recursos Adicionales

• MikroTik Docs – DDoS Protection
• [RFC 4732 – Denial-of-Service Considerations]
• Cisco – DDoS Attack Mitigation Best Practices
• Linux Kernel – Netfilter/Iptables Documentation