можно по контенту, можно тупо в адрес лист добавить и дропать

но у меня это не пашет - DPI сильный у прова гружу блоклист с гитхаба на vps - парсинг и аггрегация смежных адресов по маске + экспорт в бгп

я так делал https://www.opennet.ru/tips/2999_iptables_block_tor.shtml

я так делал https://www.opennet.ru/tips/2999_iptables_block_tor.shtml

У фейковых ответов может быть отличный от реальных ответов ttl

И не надо никаких ...location=...в правилах

И не надо никаких ...location=...в правилах

да это понятно

не суть Провайдер сразу после рукопожатия шлет редирект и никакого реального трафика. - у меня везде

у меня всегда ответ от blocklist.rkn.gov.ru

Кстати есть мысли что делать с "магией" fasttrack?

призываю @vasilevkirill

Шо?

Шо?

проблемка с fasttrack выползла - аплоад просаживает

вот на этом

нат используется?

нат используется?

естественно - src-nat

покажи правило фасттрека

покажи правило фасттрека

add action=fasttrack-connection chain=forward connection-state=established,related disabled=yes add action=accept chain=forward connection-state=established,related

add action=fasttrack-connection chain=forward connection-state=established,related disabled=yes add action=accept chain=forward connection-state=established,related

сейчас выключен - да

и менно в таком порядке как написал?

и менно в таком порядке как написал?

Flags: X - disabled, I - invalid, D - dynamic 0 D ;;; special dummy rule to show fasttrack counters chain=forward action=passthrough 1 XI chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix="" 2 chain=forward action=accept connection-state=established,related log=no log-prefix=""

покажи целиком фильтр

покажи целиком фильтр

Выключать всё кроме фасттрака пробовал - без изменений Flags: X - disabled, I - invalid, D - dynamic 0 D ;;; special dummy rule to show fasttrack counters chain=forward action=passthrough 1 XI chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix="" 2 chain=forward action=accept connection-state=established,related log=no log-prefix="" 3 chain=input action=accept protocol=gre in-interface=bridge2 log=yes log-prefix="" 4 chain=output action=accept protocol=gre out-interface=bridge2 log=yes log-prefix="" 5 chain=input action=reject reject-with=icmp-host-unreachable src-address=94.136.40.37 log=no log-prefix="" 6 chain=input action=reject reject-with=icmp-host-unreachable protocol=udp src-address=46.73.32.34 dst-port=500 log=no log-prefix="" 7 chain=input action=reject reject-with=icmp-port-unreachable protocol=udp in-interface=bridge2 port=69 log=no log-prefix="" 8 chain=input action=drop connection-state=invalid in-interface=bridge2 log=no log-prefix="" 9 chain=forward action=drop connection-state=invalid in-interface=bridge2 log=no log-prefix="" 10 chain=forward action=drop connection-state=invalid out-interface=bridge2 log=no log-prefix="" 11 chain=output action=drop connection-state=invalid out-interface=bridge2 log=no log-prefix=""

[admin@MikroTik.Me] > /ip settings print

[admin@MikroTik.Me] > /ip settings print

ip-forward: yes send-redirects: yes accept-source-route: no accept-redirects: no secure-redirects: yes rp-filter: no tcp-syncookies: no max-neighbor-entries: 8192 arp-timeout: 30s icmp-rate-limit: 10 icmp-rate-mask: 0x1818 route-cache: yes allow-fast-path: yes ipv4-fast-path-active: no ipv4-fast-path-packets: 0 ipv4-fast-path-bytes: 0 ipv4-fasttrack-active: no ipv4-fasttrack-packets: 10912513 ipv4-fasttrack-bytes: 11260136251

mangle используешь?

mangle используешь?

там мизер - тоже выключал, без изменений Flags: X - disabled, I - invalid, D - dynamic 0 D chain=forward action=change-mss new-mss=1320 tcp-flags=syn protocol=tcp out-interface=all-ppp tcp-mss=1321-65535 1 D chain=forward action=change-mss new-mss=1320 tcp-flags=syn protocol=tcp in-interface=all-ppp tcp-mss=1321-65535 2 D ;;; special dummy rule to show fasttrack counters chain=prerouting action=passthrough 3 D ;;; special dummy rule to show fasttrack counters chain=forward action=passthrough 4 D ;;; special dummy rule to show fasttrack counters chain=postrouting action=passthrough 5 chain=forward action=change-mss new-mss=1430 passthrough=yes tcp-flags=syn protocol=tcp out-interface=bridge2 tcp-mss=1321-65535 log=no log-prefix="" 6 chain=forward action=change-mss new-mss=1402 passthrough=yes tcp-flags=syn protocol=tcp out-interface=ipip-amst tcp-mss=1321-65535 log=no log-prefix="" 7 chain=forward action=change-mss new-mss=1358 passthrough=yes tcp-flags=syn protocol=tcp out-interface=ipip-wasd tcp-mss=1321-65535 log=no log-prefix="" 8 chain=forward action=change-mss new-mss=1430 passthrough=yes tcp-flags=syn protocol=tcp in-interface=bridge2 tcp-mss=1321-65535 log=no log-prefix="" 9 chain=forward action=change-mss new-mss=1402 passthrough=yes tcp-flags=syn protocol=tcp in-interface=ipip-amst tcp-mss=1321-65535 log=no log-prefix="" 10 chain=forward action=change-mss new-mss=1358 passthrough=yes tcp-flags=syn protocol=tcp in-interface=ipip-wasd tcp-mss=1321-65535 log=no log-prefix=""

chain=forward action=change-mss new-mss=1430 passthrough=yes tcp-flags=syn protocol=tcp out-interface=bridge2 tcp-mss=1321-65535 log=no log-prefix=""

чё это?

у вас бридж менее 1500

?

chain=forward action=change-mss new-mss=1430 passthrough=yes tcp-flags=syn protocol=tcp out-interface=bridge2 tcp-mss=1321-65535 log=no log-prefix=""

выравнииваю mss выборочно - отключение эффектов не даёт бриджи - стандартные Flags: X - disabled, R - running 0 R name="bridge1" mtu=1500 actual-mtu=1500 l2mtu=1598 arp=enabled arp-timeout=auto mac-address=00:0C:42:F8:CA:C7 protocol-mode=rstp priority=0x8000 auto-mac=yes admin-mac=00:00:00:00:00:00 max-message-age=20s forward-delay=15s transmit-hold-count=6 ageing-time=5m 1 R name="bridge2" mtu=auto actual-mtu=1500 l2mtu=1598 arp=enabled arp-timeout=auto mac-address=5C:D9:98:6B:D3:F1 protocol-mode=rstp priority=0x8000 auto-mac=yes admin-mac=00:00:00:00:00:00 max-message-age=20s forward-delay=15s transmit-hold-count=6 ageing-time=5m 2 R name="bridge3" mtu=auto actual-mtu=1500 l2mtu=1598 arp=enabled arp-timeout=auto mac-address=00:0C:42:F8:CA:CA protocol-mode=rstp priority=0x8000 auto-mac=yes admin-mac=00:00:00:00:00:00 max-message-age=20s forward-delay=15s transmit-hold-count=6 ageing-time=5m 3 R name="loopback" mtu=1500 actual-mtu=1500 l2mtu=65535 arp=proxy-arp arp-timeout=auto mac-address=00:00:00:00:00:00 protocol-mode=rstp priority=0x8000 auto-mac=yes admin-mac=00:00:00:00:00:00 max-message-age=20s forward-delay=15s transmit-hold-count=6 ageing-time=5m

выключай рпвила эти непонятные

показывай НАТ теперь

показывай НАТ теперь

Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat action=src-nat to-addresses=чччч src-address=192.168.0.0/16 out-interface=bridge2 log=no log-prefix=""

А вообще щас вяжу вот из этой ебанутой пряжи снуд мебиуса жене своей

а снуд классический именно мебиусом, иначе неудобно.

выключай рпвила эти непонятные

на тесты выключал всё кроме ната

а снуд классический именно мебиусом, иначе неудобно.

Ага. Единственный другой вариант - узкая труба

Flags: X - disabled, I - invalid, D - dynamic 0 chain=srcnat action=src-nat to-addresses=чччч src-address=192.168.0.0/16 out-interface=bridge2 log=no log-prefix=""

у тебя провайдер приходит в bridge?

у тебя провайдер приходит в bridge?

угу - но это тоже менял

вешал на интерфейс - без результатно

а зачем тебе бридж?

эпизодически включаю вланы со стороны оператора

а зачем тебе бридж?

но снятие брилжа на вход - не влияет, как и правила

погоди

давай так

выключи все правила в фильтре и мангле

выключи все правила в фильтре и мангле

так и делал

создай правило в НАТ

создай правило в НАТ

так и делал - результат выше бридж на вход - тоже снимал

chain=srcnat action=src-nat to-addresses=чччч out-interface=bridge2

chain=srcnat action=src-nat to-addresses=чччч out-interface=bridge2

перевешивал на интерфейс - да

а какая шаранина каналу у тебя?

а какая шаранина каналу у тебя?

симитричный гигабит

симитричный гигабит

так получается всё нормально у тебя

Народ поясните пожалуста правила обработки пакетов в фаерволле

я че то ничего не пойму

так получается всё нормально у тебя

скорость в мегабитах же на картинках проверял на интерфейсах

в частности интересует цепочка forward

делаю правило

айпишник ставлю правильный

протокол icmp

так получается всё нормально у тебя

не в мегабайтах 750 мегабайт это 6 гигабит - нету там 10г

и ничего нету

правило из forward идет первым

и ничего нету

какое правило? чего хочешь достичь?

не в мегабайтах 750 мегабайт это 6 гигабит - нету там 10г

чего?

у теб модель 2011 откуда 10Gbps?

ERROR: S client not available

какое правило? чего хочешь достичь?

chain=forward action=accept protocol=icmp dst-address=95.156.95.247 connection-limit=100,32 log=no log-prefix=""

пинга нету

chain=forward action=accept protocol=icmp dst-address=95.156.95.247 connection-limit=100,32 log=no log-prefix=""

ну конечно

chain=forward action=accept protocol=icmp dst-address=95.156.95.247 connection-limit=100,32 log=no log-prefix=""

тебе нат нужен?

нет

нет

это в filter?

ip route print 95.156.95.247/32 192.168.7.5 1

да в филтер

по локалке нормально пингуется

с внешнки не хотит

@b22igor как я понял - ты хочешь ограничить, но пропускать транзитный трафик на хоп 95.156.95.247 через свой микротик соурсом для 95.156.95.247 является внешний гейтвей 192.168.7.5 верно?

@b22igor как я понял - ты хочешь ограничить, но пропускать транзитный трафик на хоп 95.156.95.247 через свой микротик соурсом для 95.156.95.247 является внешний гейтвей 192.168.7.5 верно?

@b22igor chain=forward в filter служит для ограничений(фильтрации) транзитного трафика

да именно транзитный трафик

на хосте адрес 192.168.7.5 шлюз 192.168.7.1 алиасом висит адрес 95.156.95.247

да именно транзитный трафик

если всё верно - без данного правила - роутинг тоже должен работать по дефолту accept - емнип

правила в порядке очередности же отрабатываются?

т.е. если данное правило accept то все дальше проверка прекращается?

правила в порядке очередности же отрабатываются?

да

т.е. если данное правило accept то все дальше проверка прекращается?

да

т.е. если данное правило accept то все дальше проверка прекращается?

если нужно дальше - флаг passtrue

и самое интересное счетчики правил не бегут

и самое интересное счетчики правил не бегут

значит трафика нет - подходящего под правила

воот

так же думаю

но правило то вродже простое

токо dst-adress

без интерфейсов

если всё верно - без данного правила - роутинг тоже должен работать по дефолту accept - емнип

дело не в правиле без него роутинг должен работать

когда первым правило ставлю forward accept то все работает

токо его делаю неактивным то все хана

@b22igor там есть drop - reject? + я не увререн но емнип connection-limit может быть неприменим к icmp

после этого правила