Protección contra DDoS y SYN flood en MikroTik

Un ataque de denegación de servicio (DDoS) busca saturar tu red o tu router con tráfico basura hasta que deje de responder. RouterOS tiene herramientas para mitigar muchos de estos ataques —sobre todo los que agotan recursos, como el SYN flood— aunque conviene ser honesto sobre sus límites frente a un ataque volumétrico grande.

Qué puede hacer tu router

La mayoría de los ataques que tumban servicios no son gigantescos: son floods que agotan la tabla de conexiones o la CPU. Contra eso, RouterOS es efectivo con dos ideas: limitar conexiones por origen y filtrar temprano el tráfico anómalo.

Límite de conexiones por IP

# una sola IP no puede abrir más de 100 conexiones simultáneas
/ip/firewall/filter
add chain=input protocol=tcp connection-limit=100,32 \
    action=add-src-to-address-list address-list=flood address-list-timeout=1h
add chain=input src-address-list=flood action=drop

Protección SYN flood

El SYN flood inunda con medios-inicios de conexión para llenar la tabla. Se mitiga limitando la tasa de paquetes SYN nuevos y descartando el exceso:

/ip/firewall/filter
add chain=input protocol=tcp tcp-flags=syn connection-state=new \
    action=jump jump-target=syn-protect
add chain=syn-protect protocol=tcp tcp-flags=syn limit=400,50 action=return
add chain=syn-protect protocol=tcp tcp-flags=syn action=drop

Esto deja pasar una tasa razonable de conexiones nuevas y bota la avalancha. Complementa con FastTrack para el tráfico legítimo y con reglas que descarten paquetes inválidos temprano.

El límite honesto: el ancho de banda

Si el ataque es volumétrico —más tráfico del que aguanta tu enlace—, ningún router lo arregla: el enlace ya está lleno antes de llegar a ti. Ahí la mitigación tiene que estar aguas arriba: tu proveedor de tránsito, un servicio anti-DDoS, o comunidades BGP para desviar el tráfico. Tu MikroTik protege contra el agotamiento de recursos; el volumen puro se resuelve antes del enlace.

En MikroTik Chile endurecemos tus equipos contra floods y te ayudamos a coordinar la mitigación con tu proveedor cuando el ataque es volumétrico. Si tu red se cae bajo ataques de saturación, preparémosla.