адрес на втором прыжке, внешний адрес офис 2

адрес на втором прыжке, внешний адрес офис 2

ну тогда /ip firewall forward еще

/ip route set 5,6 gateway=192.168.33.2 на втором рисунке

add action=accept chain=forward dst-address=10.0.0.0/24 src-address=\ 192.168.0.0/24 add action=accept chain=forward dst-address=192.168.0.0/24 src-address=\ 10.0.0.0/24

правила прописаны с 2х сторон, подняты вверх

шлюзы писал и так и так, это просто последний вариант, прописал обратно

странно что из 192.168.10.0/24 все ходит отлично

и то что прыжок всего один до внешнего ip

Ребята спасибо, проблему нашел, почему то в ipsec  правило было 2 XI src-address=192.168.0.0/24 src-port=any dst-address=10.0.0.0/24 dst-port=any protocol=all action=encrypt level=require

закоментил, все заработало

неделю убил на поиски))

Говорит, что вы пытаетесь использовать IP-адрес, который он не ожидает увидеть, смотрите policy. : https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk57441 http://www.thegreenbow.com/support_flow.html?page=12105C

спасибо! 🙂

спасибо! 🙂

пожалуйста, только за что не понятно.

пожалуйста, только за что не понятно.

за полезную ссылочку, которую можно американским коллегам переслать

так, кхмм ... это они Вам говорят, что у Вас неправильный ID. Вы у себя policy на всякий случай проверьте.

так, кхмм ... это они Вам говорят, что у Вас неправильный ID. Вы у себя policy на всякий случай проверьте.

Я запросил с их стороны конфиг данного туннеля, чтобы проверить первую фазу, посмотрим чем закончится.

Я запросил с их стороны конфиг данного туннеля, чтобы проверить первую фазу, посмотрим чем закончится.

по последнему скрину, у Вас phase1 поднимается - потом не согласуется phase2 по WRONG-ID и после этого удаляется первая, как соответственно, не нужная. Хотя могу ошибаться.

не, первая фаза это IKE демон, он рулит 2-й фазой. 1 фаза если прошла отображается в remte peers. Вторая - в Installed sa

не, первая фаза это IKE демон, он рулит 2-й фазой. 1 фаза если прошла отображается в remte peers. Вторая - в Installed sa

это я знаю, у Вас проходит согласование параметров первой фазы поднимается ISAKMP, пытается согласоваться phase2 - это не получается, соот-но деражть ISAKMP смысла нет и он удаляется

да, только это не у меня, у Дмитрия. Но проблема в 1 фазе.

да, только это не у меня, у Дмитрия. Но проблема в 1 фазе.

:) сорри

То есть отсутствие фазы 2 автоматически запускает удаление пира?

То есть отсутствие фазы 2 автоматически запускает удаление пира?

ИМХО: у Вас сиутация, когда происходит reinit первой фазы, а соот-но и второй - поскольку все сыпется на согласовании параметров второй, то и держать первую смысла нет. Нужно мнение более крутых в IPSec людей, чем я.

То есть отсутствие фазы 2 автоматически запускает удаление пира?

но в жизни бывает, что сыпется вторая, а при этом первая остается жить - это когда вторая рассыпается при rekeying перечитал лог еще 10 раз - проблема действительно в первой фазе, как говорили выше и про вторую фазу я зря говорил по такой проблеме рекомендуют синхронизировать время на узлах; так же обратите внимание на параметр local-address в настройках peer; ну и еще в wiki часть про то, что ipsec всегда использует main для поиска маршрута к peer-у и про NAT.

Коллеги, здрям! Есть м кроти 1009ч на нем существует порядка 200 вланов. Мне необходима статистика, сколько трафика проходит по каждому такому интерфейсу, за определённый срок времени. Возможно ли написать скрипт, который при запуске будет собирать статистику по всем влан-интерфейсам и складывать в отдельный файл, после чего делать reset статистики всех интерфейсов?

Коллеги, здрям! Есть м кроти 1009ч на нем существует порядка 200 вланов. Мне необходима статистика, сколько трафика проходит по каждому такому интерфейсу, за определённый срок времени. Возможно ли написать скрипт, который при запуске будет собирать статистику по всем влан-интерфейсам и складывать в отдельный файл, после чего делать reset статистики всех интерфейсов?

А график такого не умеет - влан?

Он в систем или тулз включается

Графинг же вроде просто рисует средние значения daily, weekly и тд.

Графинг же вроде просто рисует средние значения daily, weekly и тд.

Ясно. Я просто предположил.

ну вот у меня графинг на один из портов. Там подобного не вижу

Можно конечно попробовать включить traffic flow, но это лишняя нагрузка на железо.

Парни, если какое-либо ограничение по количеству маршрутов в ospf?

Парни, если какое-либо ограничение по количеству маршрутов в ospf?

не нашел такой информации((

https://wiki.mikrotik.com/wiki/Manual:Routing/OSPF#Route

Значит нету наверное

Насколько я знаю, ограничений, кроме здравого смысла, нет. Может, @insoln знает какую-то тайну

нет, ограничений на количество маршрутов нет

и вообще, ospf не оперирует маршрутами

крышечку ему срывает в двух случаях: 1. слишком частый пересчет SPF 2. потери LSA при слишком большом количестве изменений, как следствие - переустановка сессии и сброс LSA1 (сводится к п.1)

Коллеги, здрям! Есть м кроти 1009ч на нем существует порядка 200 вланов. Мне необходима статистика, сколько трафика проходит по каждому такому интерфейсу, за определённый срок времени. Возможно ли написать скрипт, который при запуске будет собирать статистику по всем влан-интерфейсам и складывать в отдельный файл, после чего делать reset статистики всех интерфейсов?

The dude?

Подскажите пж. Настроил vpn но в локалку попасть не выходит. В фаерволе есть запрещающее правило http://prntscr.com/mrdmot Добавил разрешающие правила для vpn соединения ip firewall filter add chain=input action=accept protocol=udp port=1701,500,4500 ip firewall filter add chain=input action=accept protocol=ipsec-esp

Да, тоже подумал что дьюдом. Попробую завтра

Подскажите пж. Настроил vpn но в локалку попасть не выходит. В фаерволе есть запрещающее правило http://prntscr.com/mrdmot Добавил разрешающие правила для vpn соединения ip firewall filter add chain=input action=accept protocol=udp port=1701,500,4500 ip firewall filter add chain=input action=accept protocol=ipsec-esp

Соединение проходит?

Парни, если какое-либо ограничение по количеству маршрутов в ospf?

При примерно 20 тысячах оспф на 1072 может по полчаса устанавливаться

Так что, считайте, не работает

Этож сколько лса…

Здравствуйте, такая просьба, помогите сделать нетинстал по тиму и настроить сектор, за денюжку

Кто может помочь перевести это на язык микротика? Я так понял GroupPolicy3 это Diffie-Halman group (EC2N group on GP(2^155))

IKE это peer proposal? IPSEC proposal - это policy proposal?

IKE это peer proposal? IPSEC proposal - это policy proposal?

Верно

Верно

Спасибо

Вот так умеют

Жесть…)

РоЕ должно идти в микрот

Stp отработает вопрос 😜

Как то наоборот должно быть

Как то наоборот должно быть

Ага. Я приехал принимать объект, один... Полтора часа на вышке переделывал в итоге, на ветру и морозе.

*рукалицо*

Я предложил эту модель использовать, опытный экземпляр. Но тупость монтажников, которым все схемы выдал, не мог угадать.

Здравствуйте, такая просьба, помогите сделать нетинстал по тиму и настроить сектор, за денюжку

Ещё актуально? Если что в личку

Как то наоборот должно быть

На втором конце той UTP прибор за 3-4кк. А passivePoE он мог и не понять и принять. Следите за монтажниками, и не ленитесь проверять. OffTop - off

господа. вопрос. есть железка с 2мя провами. статика и л2тп. все как обычно. срцнат туда и туда. один из компов смотрит на второго прова через rules. все как бы хорошо и как надо. ТОРЧу я на первом интерфейсе и внезапно на нем появляются пакеты дст или срц моего второго прова. чет я пока туплю от чего же это может быть

господа. вопрос. есть железка с 2мя провами. статика и л2тп. все как обычно. срцнат туда и туда. один из компов смотрит на второго прова через rules. все как бы хорошо и как надо. ТОРЧу я на первом интерфейсе и внезапно на нем появляются пакеты дст или срц моего второго прова. чет я пока туплю от чего же это может быть

Бридж ? Либо напутали с роут рулами

в бридже только внутренние интерфейсы

в таблице только маршрут на дефолт через л2тп

в таблице только маршрут на дефолт через л2тп

/ip ro exp

господа. вопрос. есть железка с 2мя провами. статика и л2тп. все как обычно. срцнат туда и туда. один из компов смотрит на второго прова через rules. все как бы хорошо и как надо. ТОРЧу я на первом интерфейсе и внезапно на нем появляются пакеты дст или срц моего второго прова. чет я пока туплю от чего же это может быть

А маршрут по-умолчанию в beeline-prefered, есть?

И если есть это ip или интерфейс?

я повторю. все ходит как надо. на внешних ресурсах все айпи верные. все гут.

пакеты проскакивавают в торче в среднем 1 на тысячу

И если есть это ip или интерфейс?

Ну запросил же. Если даст то подумаем

я повторю. все ходит как надо. на внешних ресурсах все айпи верные. все гут.

Попингуйте себя с интернета (оба адреса) и посмотрите появятся ли пакеты

Ну запросил же. Если даст то подумаем

Мне самому интересно, вчера полночи с этим ковырялся и так не смог найти приемлемого для себя решения

Мне самому интересно, вчера полночи с этим ковырялся и так не смог найти приемлемого для себя решения

Какой вопрос?

замазал там некрасивые слова чтоб не забанили :)