Maxim
Тогда буду ковыряться дальше
Nickolay
add action=drop chain=forward comment="Drop tries to reach not public addresses from LAN" dst-address-list=not_in_internet in-interface=bridge1 log=yes log-prefix=!public_from_LAN out-interface=!bridge1 подскажите почему под это правило попадают пакеты 192.168.A.B/24 -> 192.168.X.Y/24, которые бегают по туннелю из чистого ipsec - это правило взято из https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router#IPv4_firewall_to_a_router
Nickolay
drop attempts to reach not public addresses from your local network, apply address-list=not_in_internet before, bridge1 is local network interface, log attempts with !public_from_LAN;
Cumberbatch
Yakov
Согласно этому правилу докопается все что летит на приватные адреса через интерфейсы отличные от локального бриджа
Cumberbatch
сейчас включу это правило и проверю по точнее.
Да я к тому что у вас пакеты как раз из бриджа идут не в бртдж(а в тоннель) вот ваше правило и рубит все
Nickolay
а там же дст адрес лист указан конкретный, а в нем нет этих адресов... я чет совсем запутался
Cumberbatch
а там же дст адрес лист указан конкретный, а в нем нет этих адресов... я чет совсем запутался
Покажите чему равен not_in_internet
Yakov
add address=192.168.0.0/16 comment=RFC6890 list=not_in_internet
Yakov
)))
Yakov
Вполне себе есть
Nickolay
Cumberbatch
Бинго
Yakov
Внимательней читайте что копипастите
Nickolay
спасибо огромное за помощь!
Yakov
Проблема в вашей ситуации не в адреслисте, а в перечислении интерфейсов в правиле, IPSec тоннель в данном случае тоже локальный интерфейс,объедените его с локальным бриджем в один интерфейс лист и используйте в правиле
Nickolay
Nickolay
Проблема в вашей ситуации не в адреслисте, а в перечислении интерфейсов в правиле, IPSec тоннель в данном случае тоже локальный интерфейс,объедените его с локальным бриджем в один интерфейс лист и используйте в правиле
Я так понимаю лучше вместо !bridge1 поставить грубо говоря WAN
Nickolay
out-interface=WAN
Cumberbatch
Я так понимаю лучше вместо !bridge1 поставить грубо говоря WAN
Либо правило accept поставить перед дропом между сетями вашими
Nickolay
Либо правило accept поставить перед дропом между сетями вашими
поставил out-interface=WAN все равно дропаются
Nickolay
Без интерфейса
add action=drop chain=forward comment="Drop tries to reach not public addresses from LAN" dst-address-list=not_in_internet in-interface=bridge1 log=yes log-prefix=!public_from_LAN имеется ввиду так?
Nickolay
add action=accept chain=forward dst-address=192.168.0.0/24 in-interface=bridge1 log=yes out-interface-list=WAN src-address=192.168.37.0/24 прописал выше того дропающего правила. Самое интересное, счетчик один раз тикнул - но пинги шли дальше
Yakov
Тикнуло один раз это пакет со стейтом new, дальше оно под правило fasttrack попадает если у вас все как в мануале
Cumberbatch
Nickolay
Тикнуло один раз это пакет со стейтом new, дальше оно под правило fasttrack попадает если у вас все как в мануале
21:46:37 firewall,info forward: in:bridge1 out:pppoe-out1, src-mac 0c:51:01:72:77:00, proto ICMP (type 8, code 0), 192.168.37.2
52->192.168.0.3, len 84
Евгений
Евгений
Евгений
Евгений
Ответил Антону из микротик, отправил скрины.
Владислав
Посмотрел презентацию galaxy s10+ понравилось что там есть Wi-FI 6, и думаю дай-ка я гляну что там наш микротик выпустит на этом стандарте?
Владислав
А он и не собирается судя по всему пока..
Nickolay
https://i.mt.lv/cdn/rb_files/CCR1009-7G-1C-1Splus-170321154504.png подскажите, а port mirroring на CCR1009-7G-1C-1S+ не получится сделать?
Андрей
Moneron 🇷🇺
Bomberman
Привет всем!
кто-то сталкивался с проблемой L2TP+IPSec на Windows XP?
Ошибка такая:
12:30:21 ipsec,error no suitable proposal found
Dmitry
проверяйте доступные и предлагаемые протоколы шифорования
Dmitry
Windows XP использует 3DES, судя по: https://support.microsoft.com/en-us/help/325158/default-encryption-settings-for-the-microsoft-l2tp-ipsec-virtual-priva - а такой протокол отстутствует в default ipsec proposal у MT
Moneron 🇷🇺
Bomberman
3des нужен
Поставил его. Теперь он просто висит без ошибки на МТ, но потом винда ошибку соединения выдаёт
Dmitry
Поставил его. Теперь он просто висит без ошибки на МТ, но потом винда ошибку соединения выдаёт
какую ошибку, что в логах MT &
Nickolay
Люди добрые, помогите сконфигурировать SELKS. Установил две сетевухи, инсталлировал SELKS 5.0RC1. Но мой CCR1009 не умеет зеркалировать порты. Поэтому воткнул одну сетевую карту в локалку, там интерфейс получил локальный адрес по DHCP, а вторую воткнул в свободный порт CCR, прописал на этом интерфейсе адрес 192.168.3.1/24. В SELKS видно два интерфейса enp2s0 (воткнут в локалку) и enp6s1 на который я хочу получать трафик с микротиковского сниффера. Как задать адрес данному интерфейсу? Просмотрел видео Козлова Романа, но не совсем все понял... Он создает некий виртуальный интерфейс и дает ему адрес, я отредактировал его конфиг:
#!/bin/bash
/sbin/modprobe dummy
/sbin/ip link set name eth10 dev enp6s1
/sbin/ifconfig eth10 192.168.3.2
/sbin/ifconfig eth10 mtu 3000
/usr/bin/screen -dmS tzsp2pcap /opt/trafr.sh
/usr/bin/screen -dmS mikrotik-php /opt/mikroik.sh
Запускаю этот скрипт и система ругается, что Device or resource busy...
LeXX
Dmitry
А здесь говорят, что он замечательно зеркалирует
https://forum.mikrotik.com/viewtopic.php?t=89068
это для старых CCR1009, которые сейчас Discounted, у них был свитч чип на борту, отсюда и возможность mirror-ить трафик. Вообще тендеция удручает, кончено - все обрабатывать процессором, убрать больше NAND-flash - удешевление платформы одним словом. И да, с сожалением, обнаружил что нет больше PPC ветки и в RB1100-х, реалтековские, о ужас свитч чипы.
Nickolay
А здесь говорят, что он замечательно зеркалирует
https://forum.mikrotik.com/viewtopic.php?t=89068
Я так понял, в моей конкретной железке все через проц, у меня даже меню switch нет :( а промежуточный свитч не хочется ставить... позвонил провайдеру попросил на их свитче отзеркалить :) но когда они разродятся не понятно. Да и ради прокачки мозгов хочется и через сниффер попробовать запустить.
Dmitry
Я так понял, в моей конкретной железке все через проц, у меня даже меню switch нет :( а промежуточный свитч не хочется ставить... позвонил провайдеру попросил на их свитче отзеркалить :) но когда они разродятся не понятно. Да и ради прокачки мозгов хочется и через сниффер попробовать запустить.
вы бы модель железки сказали из /system resource print
Shakhnazarov Artur V.
добрый день,есть проблемка помогите: есть Ротуер Crs125 и точки доступа RouterBOARD
cAP ac клиенты отваливаются, а у кого то пинг за 800мс
Shakhnazarov Artur V.
управление через Cap
Nickolay
вы бы модель железки сказали из /system resource print
https://i.mt.lv/cdn/rb_files/CCR1009-7G-1C-1Splus-170321154504.png
Nickolay
если только в SFP воткнуть похоже...
Nickolay
есть crs125-24G - но что-то жалко его, да и провайдерский в стойке стоит пустой... а пока провайдер рожает, хочу запустить через сниффер.
Nickolay
Нет, этот mirror не умеет, новый. Может у Вас есть управляемые свитчи?
Нашел вот такую еще инструкцию: http://wiki.hkfree.org/IDS_SELKS_5_s_MikroTik_CCR_na_b%C3%A1zi_Packet_Sniffer - тут похоже тоже некий виртуальный интерфейс конфигурируют... и на каком реальном интерфейсе будет висеть этот виртуальный eth10?
Dmitry
добрый день,есть проблемка помогите: есть Ротуер Crs125 и точки доступа RouterBOARD
cAP ac клиенты отваливаются, а у кого то пинг за 800мс
Если именно CRS - то смотрите загрузку cpu/memory
Dmitry
а сколько всего на устройстве ?
404
Привет. Поднял mikrotik chr на digital ocen. Прописал ip на ether1 и gateway. Все пингуется но через winbox не конектится
404
В чем может быть проблема
Shakhnazarov Artur V.
а сколько всего на устройстве ?
что самое интересное, при тесте speedtest еше больше падает%\
Алекс 🇷🇺
Скажите, есть смысл заключать публичный интерфейс в бридж - кроме как удобства? Не увеличит ли это нагрузку?
Dmitry
Скажите, есть смысл заключать публичный интерфейс в бридж - кроме как удобства? Не увеличит ли это нагрузку?
чем меньше L2 - тем лучше.
😷Драничек
Vladimir
хотя бы потому, что коммутация быстрее маршрутизации
Dmitry
Это очень спорное утверждение.
удачи, я остаюсь при своем мнении. вон выше внешку хотят с локалкой скоммутировать. ну и видимо фильтровать потом на bridge-е, чтобы скучно не было.
Vladimir
удачи, я остаюсь при своем мнении. вон выше внешку хотят с локалкой скоммутировать. ну и видимо фильтровать потом на bridge-е, чтобы скучно не было.
Ну, просто почему-то точки обмена трафиком работают как раз по l2 )
Vladimir
причем очень часто это географически разнесенная инфраструктура, причем сильно разнесенная
Vladimir
еще один плюс l2 в том, что его резервировать удобнее - в смысле, если один l2 отпал, то l3 вообще ничего не заметит. С маршрутизацией, увы, не так