получается что если igmp заворачивать в общий бридж то пробросы не работают

Ну попробуйте аккуратно ещё раз поднять igmp proxy. А внутренняя адресация случайно не использует адреса мультикаста?

вот только что поднял, и теперь мультикаст не работает.

какая то мистика. убиваю весь фаервол и все работает

точно мистика. удалил весь фаервол - все заработало. потом из бекапа руками добавил все правила обратно и все работает в итоге. я ничего не понял.

Вопрос про NAT444 в wiki.mikrotik.com: https://wiki.mikrotik.com/wiki/Manual:IP/Firewall/NAT#Carrier-Grade_NAT_.28CGNAT.29_or_NAT444 В статье указано логичное Packets with Shared Address Space source or destination addresses MUST NOT be forwarded across Service Provider boundaries. И ниже следуют правила /ip firewall filter add chain=input src-address=100.64.0.0/10 action=drop in-interface=<public_if> add chain=output dst-address=100.64.0.0/10 action=drop out-interface=<public_if> add chain=forward src-address=100.64.0.0/10 action=drop in-interface=<public_if> add chain=forward src-address=100.64.0.0/10 action=drop out-interface=<public_if> add chain=forward dst-address=100.64.0.0/10 action=drop out-interface=<public_if> Но ведь нижеследующее правило без дополнительных флагов дропнет весь трафик? add chain=forward src-address=100.64.0.0/10 action=drop out-interface=<public_if> Я прав?

похоже да

Что-то я не совсем проснулся, видимо, не понял суть вопроса. Но я увидел косяк в статье по ссылке про CGNAT

Так в чём суть? Использование одного лишь правила вместо всех этих?

не, человек правильно пометил что то правило дропнет весь трафик и ничего работать не будет, если тупо скопировать набор правил из вики

Я имел ввиду что в статье не правильное правило

Ну и как следствие, его либо вообще убрать, либо нужно добавить connection-nat-state!=src-nat ,но не уверен что это правильно

Не будет ли это избыточно, могут ли вообще возникнуть такие пакеты, если сам маршрутизатор все соединения натит

Не будет ли это избыточно, могут ли вообще возникнуть такие пакеты, если сам маршрутизатор все соединения натит

Могут. Инвалиды не натятся.

Ну и как следствие, его либо вообще убрать, либо нужно добавить connection-nat-state!=src-nat ,но не уверен что это правильно

Только =!

Решил оптимизировать файрвол. У меня нормально закрытый, т.е. самое последнее правило drop all на input. Как показывает практика, на 22 порт постоянно десятки соединений ломятся. Не будет ли лучше для производительности поставить вначало запрещающее правило для 22 порта, чтобы соединения блокировались сразу, а не пробегали по всем правилам (их уже более 200, а будет больше, сеть расширяется)

Решил оптимизировать файрвол. У меня нормально закрытый, т.е. самое последнее правило drop all на input. Как показывает практика, на 22 порт постоянно десятки соединений ломятся. Не будет ли лучше для производительности поставить вначало запрещающее правило для 22 порта, чтобы соединения блокировались сразу, а не пробегали по всем правилам (их уже более 200, а будет больше, сеть расширяется)

То что вам нужно сразу ставьте в raw. Используйте также кастомные чейны. Уж многовато у вас правил на мой взгляд. Вот когда от первого и до all drop

Сеть сильно сегментироаана

Сеть сильно сегментироаана

Свои chains вводите. В вних рулите. Используйте списки. Но это совет. Решать вам

Это сделано. Вот в рамках оптимизации правила сокращаю. Но их по плану много

Могут. Инвалиды не натятся.

То есть оставить правило, но добавить флаг connection-nat-state=!src-nat ?

Коллеги подскажите, иногда wifi отваливается с ошибкой @wlan1: disconnected, group key exchange timeout - что может быть ? hap ac2

INTERFACE --> WIRELESS --> SECURITY PROFILE --> GROUP KEY UPDATE 01:00:00

https://forum.mikrotik.com/viewtopic.php?f=7&t=68782#p476699

спасибо

а есть какая то инструкция как настроить вай фай в микротик что бы он так же работал клево как в асусах?

а не слоупочил по 20-50 мбит/c

На 5ггц то?

да даже на пять

sxt sq 5ac включил, пока не выбрал 802.11ac онли с 80 мгц полосы, хрен я видел 200 мбит/c на мобильнике, было 24-40 мбит/c

то есть если просто присутвовала поддержка 802.11n но подключался по ац

при это асус рт56у когда подключался к нему, давал аж по 100 мбит/c по стараму н

в итоге как правильно курить микротик?

Это скорость подключения или реально измеренная скорость?

это по спидтесту

Тож мне тест....

а спидтест сервер, который судя по всему прям в соседнем здании

А маршрут к нему два витка вокруг земли

нормальный тест, они уже не хттпшные + нативное приложение в андройд

А маршрут к нему два витка вокруг земли

тенгигабитный линк на того прова, в соседних зданиях

На 5ггц больше 160мбит не видел,без спидтеста,подключение 830мбит

На 5ггц больше 160мбит не видел,без спидтеста,подключение 830мбит

ой чуть перепутал, зте телефон когда выключил н оставил только ац, выдавать стал 270 мбит/c на одном чайне

там всего 1S подпись была

2.4 диапазон мертв вообще,50мбит это максимим что я видел

если с компуктера по проводу мерить 650-800 мбит/c (плавала из за шейпера прова)

я про 5 ггц и говорю

про н и ац

ац на 2.4 нет

2.4 диапазон мертв вообще,50мбит это максимим что я видел

нее, 2.4 ггц, старый нетбук асус 1201н с разлоченным 802.11н , без мимо, реальная скорость копирования файла по смб протоколу через сеть 115 мбай/c

Соглашусь,вафля это такая штука,условия приема и девайсы сильно влияют

Соглашусь,вафля это такая штука,условия приема и девайсы сильно влияют

ну один итот же эфир, один и тот же канал, асус и микротик, асус рт56у , микротик sxtsq5ac , оба 2 мимо, последний может ац, но так же и n, но асус как то без настроек лучше, а что крутить в микротике непонятно

ну один итот же эфир, один и тот же канал, асус и микротик, асус рт56у , микротик sxtsq5ac , оба 2 мимо, последний может ац, но так же и n, но асус как то без настроек лучше, а что крутить в микротике непонятно

Конфиг покажите на пастебин. Может кто и подскажет

Конфиг покажите на пастебин. Может кто и подскажет

да я выключил, в будни включу и конфиг достану

а что там за конфиг, скинул на дефолт, в секюрите профиле для впа два аес выставил ключ, включи 802.11 н/ац , полосу 80 мгц, россия3 , антену 16 дбм

а что там за конфиг, скинул на дефолт, в секюрите профиле для впа два аес выставил ключ, включи 802.11 н/ац , полосу 80 мгц, россия3 , антену 16 дбм

Полоса 80 по разному выставляется.

а что там за конфиг, скинул на дефолт, в секюрите профиле для впа два аес выставил ключ, включи 802.11 н/ац , полосу 80 мгц, россия3 , антену 16 дбм

воот ! надо отдельно 2.4 - в 20 мгец а 5 - уже больше

воот ! надо отдельно 2.4 - в 20 мгец а 5 - уже больше

нет там 2.4 совсем

Полоса 80 по разному выставляется.

Сххх

а что там за конфиг, скинул на дефолт, в секюрите профиле для впа два аес выставил ключ, включи 802.11 н/ац , полосу 80 мгц, россия3 , антену 16 дбм

что делает асус полосу узкую

я пробовал и на 40 как асус

я пробовал и на 40 как асус

а 20

а 20

20 нет

20 нет

чем уже полоса тем меньше помех больше дальность

зачем мне дальность если тест проводил в одном помещении

зачем мне дальность если тест проводил в одном помещении

Давайте посмотрим конфиг и обсудим

Давайте посмотрим конфиг и обсудим

тогда до понедельника, конфиг в офисе в выключенной точке

Ок

Тоже любопытно,пините плиз если прогляжу

на ширине 20 технически вы не разгоните до 200МБ, нужно расширять полосу

вот интересная табличка на этот счет https://lantorg.com/article/skorost-peredachi-dannyh-dlya-razlichnyh-modulyatsij-i-shem-kodirovaniya-80211n-i-80211ac

на ширине 20 технически вы не разгоните до 200МБ, нужно расширять полосу

там было 80

Коллеги, подскажите, каким образом различные сервисы wifi-авторизации сканируют реальные mac-адреса мобильных устройств с включённым wifi? Разве в текущих версиях Android и iOS до момента подключения к сети устройства не выдают рандомный MAC? У большинства подобных сервисов один маркетинговый булшит, поэтому не понятно, как работает технология. Известно только, что большинство популярных wifi-маячков сделаны на микротиках.

WiFi это такая же среда как и провод.. а на каком уровне работают маки?

Вопрос в том, как заставить "проходящий мимо" телефон засветить свой реальный mac? Всякие вайфайрадары ссылаются на "уникальный алгоритм", используя при этом микротики. Каким образом это реализуется? Преднастройка десятков стандартных SSID'ов в надежде на то, что клиент попытается подключиться к одному из них?

неее.... есть такое понятие как пассивное сканирование .. когда клиент не пользуется он все равно скнирует эфир .

Так при пасивном сканировании мобильные устройства выдают рандомный mac?

добрый день коллеги! нужна помощь Создать именнованный списк ip адресов/масок сети,(алиаса) для испольщования имени списка в правилах фарволла, маршрутизации и т.д. и в том числе для репликации этого именногованного списка на другие микротики находящимися где то в глобальной сети

Так при пасивном сканировании мобильные устройства выдают рандомный mac?

они светят своим маком

добрый день коллеги! нужна помощь Создать именнованный списк ip адресов/масок сети,(алиаса) для испольщования имени списка в правилах фарволла, маршрутизации и т.д. и в том числе для репликации этого именногованного списка на другие микротики находящимися где то в глобальной сети

А в чём проблема?

А в чём проблема?

оздать именнованный списк ip адресов/масок сети,(алиаса) для испольщования имени списка в правилах фарволла, маршрутизации и т.д. и в том числе для репликации этого именногованного списка на другие микротики находящимися где то в глобальной сети

оздать именнованный списк ip адресов/масок сети,(алиаса) для испольщования имени списка в правилах фарволла, маршрутизации и т.д. и в том числе для репликации этого именногованного списка на другие микротики находящимися где то в глобальной сети

Я понял цель, проблему не вижу