Чо, посоны - придумали решение задачи с туннелем и HTTPS?

но почему по мактелнету не заходит

А он включен?

Всем привет! Пользователь MikroTik из Калининграда. Сертифицирован по MTCNA, MTCRE. Сюда попал по приглашению @karetah

Чо, посоны - придумали решение задачи с туннелем и HTTPS?

почти, дома дети не дают, давайте завтра продолжим

завтр буду на живую тестить

ну как бы в лабе

в теории уже в принципе вроде как понятно что надо сделать

хочу реализовать на стенде

Жесть

Какая

Зачем

Так

Много

Сообщений?

мсье провокатор? :)

интересно чем спровоцирован, интерес такой незаурядной личности, к таким тривиальным проблемам смертных? :)

мсье провокатор? :)

Не исключено. Что не отменяет неудобства кучи сообщений вместо одной красиво изложенной мысли.

интересно чем спровоцирован, интерес такой незаурядной личности, к таким тривиальным проблемам смертных? :)

Лишними запятыми, например.

естественно простого ответа на простой вопрос не последует, смерды должны додумывать сами :)

capsman + 3 cap2nd = 20 мегабит входящая \ 70 исходящая (канал 100мегабит). подскажите, что может быть? хочу входящую побольше

Всем привет! Пользователь MikroTik из Калининграда. Сертифицирован по MTCNA, MTCRE. Сюда попал по приглашению @karetah

мало, что то сертификатов мало, фу ?

Покажи свой MTCINE. ?

capsman + 3 cap2nd = 20 мегабит входящая \ 70 исходящая (канал 100мегабит). подскажите, что может быть? хочу входящую побольше

Смотреть в сторону стандарта, канала и режима Ce eC

capsman + 3 cap2nd = 20 мегабит входящая \ 70 исходящая (канал 100мегабит). подскажите, что может быть? хочу входящую побольше

По поводу то нормально? Может быть канал плохой сам по себе?

По поводу то нормально? Может быть канал плохой сам по себе?

По проводу 100мб

Отдача до 80 доходит

Скачивается до 25максимум

Значит частоты смотреть. Каналы заняты может

Чем принимаете? Кто клиент.

?

Чем принимаете? Кто клиент.

2 ноута и 2 смартфона. У всех одна картина

Смотреть в сторону стандарта, канала и режима Ce eC

Просветите коротко. Се и еС какая разница?

Се расширение диапазона от канала в +. еС в минус

Аа, ок

С = channel

Е = extension

Получается что от той частоты что задали позволяет расширяться в + от канала или в минус

Все, понял

Короче поиграть с каналами?

Сначала посмотреть загрузку частот. Про простому - через wifi analyzer. Или по-серьезнее, через snooper

А потом уже играть с каналами. Иначе, это будет игра в угадайку с херовым результатом. Иногда имеет смысл вообще уйти от "Се"/"еС" в полосу 20MHz и не цеплять лишних помех

а в чем можно нарисовать лабу нормально, пейнт не предлагайте :)

visio

а в чем можно нарисовать лабу нормально, пейнт не предлагайте :)

Yed

спасибо

а в чем можно нарисовать лабу нормально, пейнт не предлагайте :)

draw.io

просьба после 22.00 МСК не меншнить через собаку. еще раз придётся проснуться - вызывающий уйдёт в readonly на пару суток.

Т.е. после 22:00 можно спамить и не накажут?

задача: в сети R1 разрешить доступ в интернет через vpn только для 10.2.1.1, в сети R2 разрешить доступ через этот же vpn только для 10.0.0.1, сейчас я понимаю, что реализовал это крайне неправильно, оно как-то работает, но из-за кучи натов доступ из одной сети в другую не работает нормально, подскажите пожалуйста, как бы это правильно реализовать?

Почему ты думаешь, что сейчас неправильно?

Т.е. после 22:00 можно спамить и не накажут?

после 22.00 нельзя меншнить. накажу.

на R1 я сделал мангл по прероутингу для 10.2.1.1 и 10.3.0.1, которым нужен выход через vpn, сделал отдельный для них нат с указанием интерфейса vpn-service

mangle можно убрать. Тебе же никто не мешает указать src-addr сразу в таблице nat.

Ещё и производительность вырастет.

хорошо, начнем с R1, как тогда прописать маршрут чтобы нужный мне клиент выходил через интерфейс vpn? сейчас у меня 0.0.0.0/0 с указанием интерфейса и марк роутинга

Ты лучше покажи /ip firewall nat export; /ip firewall mangle export.

ERROR: S client not available

/ip firewall nat add action=masquerade chain=srcnat out-interface=portlane src-address-list=portlane add action=masquerade chain=srcnat out-interface=eth1-gw add action=dst-nat chain=dstnat dst-port=53 protocol=tcp to-addresses=10.2.0.1 to-ports=53 add action=dst-nat chain=dstnat dst-port=53 protocol=udp to-addresses=10.2.0.1 to-ports=53

/ip firewall mangle add action=mark-routing chain=prerouting new-routing-mark=portlane passthrough=yes src-address-list=portlane

там еще куча всякого выключенного говна

Так, ты ставишь roting-mark. Значит, у тебя есть маршрут, который её использует, верно?

да, все так

/ip route add distance=1 gateway=portlane routing-mark=portlane add distance=1 dst-address=10.2.0.0/21 gateway=bridge pref-src=10.2.0.1 routing-mark=portlane scope=10

первый для выхода через интерфейс, второй для доступа в локальную сеть

Так, я сейчас немного туплю, ибо время позднее, поэтому прямо сразу могу написать простое: адреса на выходе статические? Если да - замени masquerade на srcnat (добавив to-address) - чуть-чуть быстрее будет. Хотя на глаз не заметишь.

хорошо :)

правда portlane выдает всегда динамический адрес, а провайдер статический, не думаю, что это как-либо повлияет

Там, где динамический - оставь маскарад.

У меня дома похожая конфигурация: есть гостевая сеть, есть моя. Из моей в туннель офиса можно, из гостевой нельзя. Наиболее кошерно это таки с mangle выглядит (но у меня конфиг сложнее), так что твой конфиг считаю корректным.

хорошо, а как тогда быть с R2, там у меня сделано тоже самое

там на микротике l2tp клиент и для него повторено тоже самое, что и на R1 для portlane

и вот это мне кажется какой-то дичью, но как сделать это правильно я не знаю :)

там на микротике l2tp клиент и для него повторено тоже самое, что и на R1 для portlane

Кстати, L2TP замени на IP-IP, если уж негровтык с негровтыком.

В adress list на R1 есть адреса из сетей, которые за R2, так?

да, 10.3.0.1

Но тогда на R2 у тебя должен быть конфиг немного проще. Тебе ведь нужно просто смаршрутизировать адрес/сеть на R1 - ведь на нём уже VPN куда-то дальше поднят.

а мне не нужно, чтобы все ходили через R1 из R2

Ну так в этом случае и нужен mangle routing-mark и на R2.

Если тебе нужно, чтобы выбираемый gateway зависел от src-addr - то тебе придётся использовать routing-mark.

Хотя может быть, что на R2 /ip firewall mangle можно заменить на /ip route rule.

Правда, /ip route rule также вешает routing-mark, так что практически тот же mangle тебе.

так, а маскарейд для адресов на R2 нужен?

Маскарад нужен только в том случае, если ты делаешь NAT, но не знаешь, какой адрес на выходном интерфейсе.

А там, где у тебя внутренние адреса - и сам NAT не нужен.

/ip firewall nat add action=masquerade chain=srcnat disabled=yes out-interface=backbone src-address-list=backbone add action=masquerade chain=srcnat out-interface=eth1-gw /ip firewall mangle add action=mark-routing chain=prerouting new-routing-mark=backbone passthrough=yes src-address-list=backbone сейчас вот так на R2, маскарейд для адресов выключен