лучше подскажите, какие пакеты определяются как state = invalid?

и нужно ли это дропать? в каких случаях?

т.е. в случаях vrrp, несимметричной маршрутизации - просто запрещаем conntrack ?

"any known connection" - по одной железке проходит, а icmp errors - по второй.

если идёт пакет который нельзя сопоставить с известным соединением, то его статус - new?

Есть не спящие кто по SPI подскажет?)

кроме случаев когда invalid

верно?

Как-то не информативно было

Можно в консоли написать команду :)

надо писать так: Находим в меню слева пункт "New Terminal", жмём, настраиваем

на вопрос номер 1 - в каких случаях - да. на вопрос - 2 дропать ли всегда - увы, в мои примеры не вписывается ваше "всегда, когда включен conntrack"

@Anton Какая команда в консоли включает SPI для UDP пакетов или по умолчанию включен?

Дефолтная настройка сбрасывалась и настройки были с нуля.

@Anton Если никак не влият, то хорошо. Спасибо за инфу :)

Настройку по умолчанию понимаю ту, которая появляется после сброса до заводского состояния и предлагается оставить или удалить её. Соответственно все остальные настройки не являются по умолчанию.

Следует, что SPI не включен, если нет обратного утверждения.

Т.к. настройка по умолчанию была удалена.

Значит SPI включен всегда, если его не выключали вручную?

Какой командой можно проверить статус SPI?

Connection tracking, понятно, в auto стоит

Connection tracking, понятно, в auto стоит

Если коннтрек работает – значит, для всех протоколов включен spi

на вопрос номер 1 - в каких случаях - да. на вопрос - 2 дропать ли всегда - увы, в мои примеры не вписывается ваше "всегда, когда включен conntrack"

Не всегда. Если конфигурация типовая – весь траф проходит через роутер – то от дропа хуже не будет. А если есть примеры несимметричной маршрутизации – то на всех транзитах дропать инвалиды не стОит, ибо велики шансы, что tcp-сессия даже установиться не сможет

Connection tracking, понятно, в auto стоит

Если хоть одно правило ната есть – то коннтрек работает. К фильтру это относится в меньшей степени (только к фичам, начинающиеся на connection- )

Доброе утро. Подскажите пожалуйста. Как настроить такую фишку. У меня поднят l2tp сервер. Клиенты имеют статические белые адреса. Как настроить фаервол что бы подключались только мои клиенты а остальные дропались?

на вскидку или список IP клинентов или сменить стандартный порт на l2tp

и там уже фильтровать

на вскидку или список IP клинентов или сменить стандартный порт на l2tp

если сменить порт. то как его указать в том же zyxel start ? ip:port?

вот тут не подскажу.. я с данным девайсом не работал

а если при открытии портов 1701,500,4500 указать список моих клиентов (ip адресов) то тогда может прокатит?

если список статичен тожно сделать лист IP и его использовать в правилах

да. в том то и полюс что он статичен

ну тогда через список IP.. и проще и меньще проблем

а теперь вопрос. где указать список? я его создал уже

я чет запутался

Ниже дст.адрес лист

Проще наверное дроп всем кроме адрес листа

кроме это галку надо поставить? )

да

Добрый день. Подскажите пожалуйста, можно ли и как организовать подключение к микротику по впн, чтобы к определенному пользователю можно было подключиться только с одним определенным статическим внешним адресом, а к другим пользователям с любым динамическим?

Да

Да

Ссылку на статью можете дать?

Ссылку на статью можете дать?

Статьи нету. Нужен скрипт он будет смотреть и дисконектить его если он с чужого ip. 2ой вариант через фаэрвол можно попробовать

если мне не изменяет память, то при задании в callerID secret'а пользователя ip-адреса данный пользователь только с него сможет зайти

caller-id (string; Default: ) For PPTP and L2TP it is the IP address a client must connect from.

да

Спасибо за помощь)

пожалуйста

Приветствую, коллеги! Подскажите пожалуйста, как сделать маршрут для определенного порта, сети. Например, 192.168.88.0/24 идут через pptp1, а 99.0/24 через pptp2. пс сети приведены для примера, использование pptp тоже. Идея в том, что указывать не только куда идти через впн, а и откуда.

policy-based routing или vrf, на ваш выбор

Всем привет подскажите кто нибуть сталкивался при организации тунеля с шифрованием какие либо клиент серверные приложения не работают либо работают частично?

Всем привет подскажите кто нибуть сталкивался при организации тунеля с шифрованием какие либо клиент серверные приложения не работают либо работают частично?

разберайтесь с MTU и MSS

разберайтесь с MTU и MSS

Спасибо посмотрю

товарищи, а у всех вики микротика лежит?

товарищи, а у всех вики микротика лежит?

да + форум

у меня тоже не работает

а может кто кинуть ссылкой на подробную статью по настройке site-to-site OpenVPN, если вдруг уже такая есть?

а может кто кинуть ссылкой на подробную статью по настройке site-to-site OpenVPN, если вдруг уже такая есть?

https://www.google.ru/search?q=mikrotik+site-to-site+openvpn&oq=mikrotik+site-to-site+openvpn

день добрый, подскажите пожалуйста кто нибудь сталкивался с тем что микрот забывает пароли?

день добрый, подскажите пожалуйста кто нибудь сталкивался с тем что микрот забывает пароли?

Эмм, шта? Какие именно пароли? Как забывает? После резета – да, есть такая фича.

нет. от доступа к вебморде и через винбокс.

Если юзера грохнули, а затем восстановили кнопкой undo – то да, он без пароля

нет. от доступа к вебморде и через винбокс.

Либо ещё бэдблоки посмотрите, если случай единичный

Если они будут то в мусорку?

Если они будут то в мусорку?

Если они будут – то нетинсталл, и снова можно жить

Я не про половину, а про 1-3%

приветствуем пятисотого участника! :)

🎉🎉🎉

спасибо, здравствуйте, подскажите какой-нибудь проверенный гайд по двупровайдерной схеме на микротике. Я их несколько нашел, но не уверен какой из них рабочий.

если догоните

https://nixman.info/?p=133

тут ок написано

спасибо

спасибо

https://habrahabr.ru/post/244385/ я по второй схеме делал

я собственно к вам решил сходить после статьи https://habrahabr.ru/post/319082/ которая ссылается на то что линканул ты и немного её подправляет. версия растет, баги множатся, хотел соломки подстелить. потому что SIP у меня там тоже будет, но вообще на моем микротике не будет ната, он будет дальше, так что наверное всё равно.

а самый простой шифрованный туннель поверх которого можно бросить eoip подскажите? я в целом выбираю между l2tp+ipsec, который ни разу не смог настроить и чистым gre и не говорить клиенту что шифрования нет >_>

А чем чистый еоип овер ипсек не устраивает?

а всем наверное устраивает.

Тогда, пожалуй, вот и ответ