а без allow remote requests днс сервер на свою подсеть работает?

Нет, к стати в локалку можно просто передавать днсы по dhcp, а галочку убрать.

Тогда блокировать 53 порт не надо

Да, адреса серверов можно, хоть какой, Николай видимо имел ввиду ситуацию, когда сам роутер в роли сервера ДНС

"ДНС сервер на свою подсеть" галочка отключает ответы на запросы DNS

Ну да, отключает ответы на запросы днс в принципе.

Не bgp fullview, случаем?

в общем я хочу вообще отключить днс сервер на микроте

что то меня уже подкидывает сотни адресов в час которые ломятся на микрот по 53му удп

хоть с равом нагрузка и упала, не в полочку, но все равно не идеал

в общем я хочу вообще отключить днс сервер на микроте

+100500

хочешь сказать drop не спасает?

спасает, но нагрузка в простое 40% как то напрягает

у меня просто нет таких проблем, есть 2 правила и адрес-лист

в правилах в исключениях адрес лист

никогда проблем не возникало

арес лист у меня забивается по 100 ip в час

нене

прямой дроп, без попадания в al

в исключающем al - днс провайдера или общедоступный

и все

Ну и в чем + то?

что нет прохода по листам

Да я про ДНС

правила очередей не действует

А вот отключить роль ДНС сервера плюс есть

ну на вкус и цвет

вообще какого ляпа днс отвечает из вне мне не понятно

Разница в пинге до сервера провайдера и до шлюза ping 217.25.208.6 PING 217.25.208.6 (217.25.208.6) 56(84) bytes of data. 64 bytes from 217.25.208.6: icmp_seq=1 ttl=61 time=2.14 ms 64 bytes from 217.25.208.6: icmp_seq=2 ttl=61 time=3.02 ms 64 bytes from 217.25.208.6: icmp_seq=3 ttl=61 time=2.99 ms 64 bytes from 217.25.208.6: icmp_seq=4 ttl=61 time=4.69 ms ^C —- 217.25.208.6 ping statistics —- 4 packets transmitted, 4 received, 0% packet loss, time 3004ms rtt min/avg/max/mdev = 2.149/3.214/4.690/0.922 ms bukass@bukass-Aspire-ES1-131:~$ ping 192.168.88.1 PING 192.168.88.1 (192.168.88.1) 56(84) bytes of data. 64 bytes from 192.168.88.1: icmp_seq=1 ttl=64 time=19.2 ms 64 bytes from 192.168.88.1: icmp_seq=2 ttl=64 time=1.61 ms 64 bytes from 192.168.88.1: icmp_seq=3 ttl=64 time=3.53 ms 64 bytes from 192.168.88.1: icmp_seq=4 ttl=64 time=1.43 ms 64 bytes from 192.168.88.1: icmp_seq=5 ttl=64 time=1.40 ms ^C

вообще какого ляпа днс отвечает из вне мне не понятно

А почему нет то?

это дефолтное поведение тика в данном случае

а чем не мало статей написано

Не bgp fullview, случаем?

Нет)

Телеграмчик обновился, новые фишки появились :)

какие? я мессенджер+ пользуюсь прост)

Можно нужные чаты закреплять наверху и новый сервис @ifttt

Дуров очень зрелый продукт выпускает

Стикеры в мозиле не показывает

Ifttt уже давно все ни как не попробую

Дуров очень зрелый продукт выпускает

Да, Паша красавчик

Паша не продался ФСБ и свали.

у меня немного другая реализация, я все стейджи прогоняю через файервол, так как нужно именно нью коннект выбирать, а отбрасываю равом

Поскажите по ospf. Собрал сеть - марршруты прилетают, все работает, но нужно как-то прикрутить loopback. С какой маской вешать на него ip, и вообще есть там какие особенности?

Делай бридж и вешай туда ИП по /32

Бридж без портов внутри

Луп должен быть с наиширочайшей маской.

Делай бридж и вешай туда ИП по /32

Анонсить эту сеть нужно?

Да

та я не понял 32 маска или нет?

Максимальная

Тебе надо 1 ип

Я использую 1 адрес из пула по /32 для мониторинга живности пула

Да 32. Я с блекхолом попутало

Спасибо!

Парни, кто-то мне говорил, что на микротике можно сгенерить ссл-сертификат, на который браузеры не будут ругаться, что он самоподписной. Если кто-то знает, как это сделать, сообщите, плз.

Парни, кто-то мне говорил, что на микротике можно сгенерить ссл-сертификат, на который браузеры не будут ругаться, что он самоподписной. Если кто-то знает, как это сделать, сообщите, плз.

Вот это то о чем я спрашивал на тренинге...

Вот это то о чем я спрашивал на тренинге...

Значит, ждём ответа вдвоём )

Это для хотспота, редиректа https?

Парни, кто-то мне говорил, что на микротике можно сгенерить ссл-сертификат, на который браузеры не будут ругаться, что он самоподписной. Если кто-то знает, как это сделать, сообщите, плз.

Если только API для letsencrypt на самой железке это не возможно так как необходима "третья сторона"

Видимо создаётся запрос средствами ros и производится подписка из бесплатных сервисов, а такую интеграцию пока только letsencrypt может

http://forum.mikrotik.com/viewtopic.php?t=92673

Но при всём при этом сертификат выдаётся только на домен ! Не на IP (на IP стоят денег так как там другая технология) лито так как устроено у synology - поддомен Микротика сам будет выдавать на ddns

Да у меня есть статик ип, домен и платный серт. Но кто-то из студентов точно говорил, что можно сделать самоподписной и чтобы не ругался. Но не помню, кто и с какого города

Благодаря SNI технология нескольких ssl на 1 IP стала возможной эта поддержка уже есть в модулях apache и nginx и к слову говоря isp manager прямо из панели поддерживает

Да у меня есть статик ип, домен и платный серт. Но кто-то из студентов точно говорил, что можно сделать самоподписной и чтобы не ругался. Но не помню, кто и с какого города

Возможно при 2х условиях (свой сервер сертификации либо как обычно добавить в доверенные

Да у меня есть статик ип, домен и платный серт. Но кто-то из студентов точно говорил, что можно сделать самоподписной и чтобы не ругался. Но не помню, кто и с какого города

И микрот, кстати, очень хорошо этот серт скушал и на вебморде теперь зелёненький замочек

Это да, в своё время мучился не мог завести sstp )

Это так, для побаловаться было сделано, т.к. кто-то мне доказывал, что микротик не работает адекватно с сертификатами. В контексте веб-морды – всё замечательно работает

Это да, в своё время мучился не мог завести sstp )

Сстп вроде у меня и по логину-паролю заводился без сертификатов

Работает раньше было туго. Но к счастью не застал эти времена - только наслышан

Сстп вроде у меня и по логину-паролю заводился без сертификатов

Ммм на винде без сертификата не завёлся может между тиками

К стати кто не знает ещё, раз уж зашла речь : С 1.01.2017 Гугл будет блокировать сайты без ssl предупреждением что сайт не надёжный

К стати кто не знает ещё, раз уж зашла речь : С 1.01.2017 Гугл будет блокировать сайты без ssl предупреждением что сайт не надёжный

Спасибо за инфу. Где-то видел, но не было актуально

К стати кто не знает ещё, раз уж зашла речь : С 1.01.2017 Гугл будет блокировать сайты без ssl предупреждением что сайт не надёжный

Немного не точно. "Beginning in January 2017 (Chrome 56), we’ll mark HTTP pages that collect passwords or credit cards as non-secure, as part of a long-term plan to mark all HTTP sites as non-secure."

https://security.googleblog.com/2016/09/moving-towards-more-secure-web.html?m=1

Ребята добрый день.

Подскажите насчёт развёртывания capsman. Одну сеть получилось развёрнуть , вторую делаю по аналогии , но почему то не хочет генериться

может в чём ограничения стоят

http://serveradmin.ru/nastroyka-capsman-v-mikrotik/

Про сертификаты я говорил. Хотя может и ошибался

Я делаю стандартно - выпускаю корневой только для подписи сроком на 10 лет. Экспортирую его с паролем. Потом им остальные по сети подписываю.