Detectar quien o que consume mi ancho de banda utilizando Mikrotik

El Problema

Mi conexión a internet pareciera estar lenta, aunque mi proveedor asegura que todo está bien el estado de mi conexión va desde aceptable a inutilizable.

¿Qué es Mikrotik?

Los routers Mikrotik son dispositivos para administrar la red. Muchas veces se instalan en empresas para controlar a los usuarios, limitar el ancho de banda, bloquear paginas indeseadas, realizar redirecciones a puertos con mayor control que hacerlo solo con un router, añadir seguridad a la red, etc.

Para conectarse al Mikrotik se utiliza winbox, software que se ejecuta desde nuestra maquina local y se conecta al Mikrotik. También existe la interfaz web, pero no la utilizaremos en este caso.

Primer antecedente, Interfaces.

Una de las grandes ventajas de Mikrotik es que puedes definir diferentes redes para cada puerto (como si cada boca del Mikrotik fuera un router), para identificar el problema debemos saber desde que red se están consumiendo nuestro ancho de banda.

A pesar de que Mikrotik nos dice cuanto se está consumiendo, el dispositivo no sabe cuál es nuestro ancho de banda limite. Eso debemos saberlo de antemano, de acuerdo al contrato que tenemos con nuestro promovedor. En este caso tenemos una flamante velocidad de alrededor 3 Mbps. Por lo tanto, la red LAN-Z está consumiendo 77% de nuestro ancho de banda.

Aunque esto no es suficiente es un buen comienzo. Vamos a investigar un poco más.

Torch

Para obtener resultados más específicos utilizaremos la herramienta llamada Torch, ubicada en nuestro menú en tools-> torch. Nos permitirá monitorear nuestra red en tiempo real e identificar quien o que está consumiendo internet.

Primero revisaremos nuestra puerta WAN.

Recordemos que Tx significa Transmisión y Rx significa Recepción. La tabla fue ordenada por Rx de mayor a menor, aquí tenemos nuestro sospechoso en la primera fila, la fuente de la descarga de información viene desde 31.216.145.118 sabiendo esto podemos hacer dos cosas:

1.- Utilizar nslookup en la terminal para averiguar quién es esta IP, en este caso no devolvió respuesta.

2.- Usar Whois para obtener más información, que en este caso si nos dio información útil.

De acuerdo a esta información esta IP corresponde a mega.com así que probablemente alguien dentro de nuestra red está descargando algo.

Como vimos en la imagen de Torch en el Mikrotik la IP fuente es 31.216.145.118 y la IP de destino es 192.68.1.10 que es la IP del puerto WAN de nuestro Mikrotik. Por lo tanto, ahora sabemos que está pasando, pero no quien. Para identificar al equipo utilizaremos Torch nuevamente, solo que esta vez no mediremos la puerta WAN sino que LAN-Z que es la interfaz que está usando el ancho de banda.

Aquí hay un pequeño detalle, ahora Tx es mayor que Rx (recuerda que Tx es transmisión y Rx recepción, ¿pero estábamos descargando algo no?). Al usar Torch para medir la red LAN Tx y Rx se intercambian.

La primera Línea nos da más Datos de que está sucediendo. Vemos que la IP 31.216.145.118 (MEGA) está conectada a la IP local 192.168.2.157 Por lo tanto la esta IP local es la que está descargando. Hasta este punto podríamos crear un QoS para esa Mac, ya que está en mi rango de DHCP o denegar por completo su conexión. Pero ¿Qué sucede si quiero saber si esta persona está autorizada? Podemos verificar un poco más de la maquina usando ping –a como lo siguiente:

Ping –a 192.168.2.157

Aunque la maquina no respondió el Ping se resolvió el nombre de la IP. Ahora sé que es ERIC-NOTEBOOK quien está descargando desde MEGA utilizando casi todo el ancho de banda. Para este paso puede ser muy útil nmap en vez de ping, que nos dará más datos como que versión de Windows está ejecutando, etc. Evidentemente yo le pedí que descargara algo para efectos de este tutorial.

Eso chicos, si crees que es útil compártelo con un amigo. Si conoces otras herramientas que se puedan utilizar para identificar problemas en la red déjalas en los comentarios.

Saludos.