свитчи микротик не поддерживают стекирование

Я рискну на CRS326-24G-2S+RM собрать сетку... в центре звезды придется конечно поставить аж 3 штуки... Но когда появятся 48-ми портовые заменю на них.

Я рискну на CRS326-24G-2S+RM собрать сетку... в центре звезды придется конечно поставить аж 3 штуки... Но когда появятся 48-ми портовые заменю на них.

"рискну" и "прод" в одном предложении )

А есть ещё на какой-то обрезаной ос свичи? Вообще не стоит?

А есть ещё на какой-то обрезаной ос свичи? Вообще не стоит?

Вы бы хоть примерную схему и бюджет написали, задачи, требования к пропускной способности линков

Задачи стандартные, интернет которого все больше плюс файловая помойка в сети, которой все меньше. Всяких 1с и тому подобного нет, а если есть то в отдельном сегменте. Главное стабильность.

Господа в каком формате должна быть флешка чтоб определялась на микротик и где смотреть что определилась как хранилище

Fat32 или ext4

В разделе files смотреть

Спасибо

Господа в каком формате должна быть флешка чтоб определялась на микротик и где смотреть что определилась как хранилище

https://wiki.mikrotik.com/wiki/Manual:System/Disks

Спасибо

Человек опечатался, хотел написать Fat32 или ext3

Да. Ext3. Пардон.

Задачи стандартные, интернет которого все больше плюс файловая помойка в сети, которой все меньше. Всяких 1с и тому подобного нет, а если есть то в отдельном сегменте. Главное стабильность.

традиционно предложу купить Б/У цисок, прошить, настроить и забыть

традиционно предложу купить Б/У цисок, прошить, настроить и забыть

Могу продать Б/У Циску))

Могу продать Б/У Циску))

я их сам могу кому хочешь продать

Есть такая задачка интересная. Через два микротика проложен EoIP в обертке из L2TP (без IPSec). С одной стороны свое собственное ядро сети, а с другой свой собственный коммутатор L2. Если посмотреть в IP-Neighbour, то там видно посторонее устройство (микротик). Туннель проходит через стороннего (одного или нескольких) оператора. Как можно накосячить с настройкой, что в туннель попадает постороннее устройство?) В какую сторону смореть?

я их сам могу кому хочешь продать

А сколько стоят БУ циски с гигабитными портами?

Есть такая задачка интересная. Через два микротика проложен EoIP в обертке из L2TP (без IPSec). С одной стороны свое собственное ядро сети, а с другой свой собственный коммутатор L2. Если посмотреть в IP-Neighbour, то там видно посторонее устройство (микротик). Туннель проходит через стороннего (одного или нескольких) оператора. Как можно накосячить с настройкой, что в туннель попадает постороннее устройство?) В какую сторону смореть?

а с чего вы решили, что устройство через тоннель видно? Скорее, его видно через ethernet, в котором l2tp

Задачи стандартные, интернет которого все больше плюс файловая помойка в сети, которой все меньше. Всяких 1с и тому подобного нет, а если есть то в отдельном сегменте. Главное стабильность.

а в целом, на ядро (агрегацию) надо взять что-нибудь L3 стэкируемое + по два линка на access-свитчи (медь или оптика не важно) по 1G думаю будет достаточно, по одному в каждую из нод стэка + два маршрутизатора с двумя провайдерами, по одному на маршрутизатор + VRRP, по одному линку в сторону стэка + все VLAN-ы локалок терминируются на L3 свитче ядра. Если есть большой серверный сегмент - то на него отдельный свитч с двумя линками в сторну ядра по 10G. Схема может быть расширена установкой двух аппаратных firewall в стэке между ядром и маршрутизаторами и/или серверным сегментом.

А сколько стоят БУ циски с гигабитными портами?

nag.ru

Есть такая задачка интересная. Через два микротика проложен EoIP в обертке из L2TP (без IPSec). С одной стороны свое собственное ядро сети, а с другой свой собственный коммутатор L2. Если посмотреть в IP-Neighbour, то там видно посторонее устройство (микротик). Туннель проходит через стороннего (одного или нескольких) оператора. Как можно накосячить с настройкой, что в туннель попадает постороннее устройство?) В какую сторону смореть?

Интерфейс же пишет откуда приходит сосед

Интерфейс же пишет откуда приходит сосед

ну вот eoip оконечивается через бридж физ.портом, который воткнут в конечный коммутатор. На другом конце то же самое, только оконечка в ядро сети. Больне нигде физ порты не задействованы

/ip neig print

А есть ещё на какой-то обрезаной ос свичи? Вообще не стоит?

Нинада свитчос…

Коллеги, что значит /ip ipsec peer статус “This entry is unreachable” ?

Коллеги, что значит /ip ipsec peer статус “This entry is unreachable” ?

"This peer is unreachable" messages in 6.43.4 are a little misleading. The second peer should still be working fine. As I said, these messages are completely fixed in the latest beta version. I have tried this, but the client will NOT connect to the second address"Send initial contact" does not mean the peer will not initiate the connection. It controls the INITIAL_CONTACT notification behaviour. The INITIAL_CONTACT notification asserts that IKE SA is the only IKE SA currently active between the authenticated identities - which essentially removes all other IKE SA between two peers when this notification is received. As for the load balancing part. My best guess would be that the GRE tunnel is not actually going down. GRE is a stateless protocol in its nature and keepalive should be used to control the running status of such interface. Может похоже?

6.43.13

6.43.13

Они точно меняли IPSec. Нужно заново настроить

Они точно меняли IPSec. Нужно заново настроить

Обратил внимание: Появляется только при простановке Passive (Auth RSA key)

Обратил внимание: Появляется только при простановке Passive (Auth RSA key)

В 6.44 *) ipsec - removed limitation that allowed only single "auth-method" with the same "exchange-mode" as responder;

В ней даже подкрутили split-include

Поэтому как то сложно что-то конкретное говорить. Сейчас с IPSec крутить вертеть начали сильно

что-то я не понял, не все микротики умеют /interface wireless spectral-history ?

/interface wireless spectral-history wlan2 failure: this device can not do spectral scan

Да не все

ыыыыыы. Currently, this feature is supported only for Atheros AR92xx, AR93xx and is NOT supported for Atheros 802.11ac chips (e.g. QCA98xx)

ну что за люди. ни тебе wave2, ни спектрал скан

Всем привет, кто сталкивался подскажите. Есть микрот за которым стоит веб сервер на nginx, на сервер прокинут только 80 порт. Вчера по логам увидел что с китая идел небольшой дэдос примерно с 80 хостов, причем пытаються обращаться на конфиг файлы движка сайта. Очень неприятная картина, спасают пока правильно выстпвленые права на сервере. Вопрос: как закрыть стране всходящего солнца возможность обращаться на микрот вообще, в идеале с минимальной нагрузкой на микрот

Всем привет, кто сталкивался подскажите. Есть микрот за которым стоит веб сервер на nginx, на сервер прокинут только 80 порт. Вчера по логам увидел что с китая идел небольшой дэдос примерно с 80 хостов, причем пытаються обращаться на конфиг файлы движка сайта. Очень неприятная картина, спасают пока правильно выстпвленые права на сервере. Вопрос: как закрыть стране всходящего солнца возможность обращаться на микрот вообще, в идеале с минимальной нагрузкой на микрот

Сделать адрес-лист с сетями китайцев. Убивать их на подходе т.е. в RAW

Сделать адрес-лист с сетями китайцев. Убивать их на подходе т.е. в RAW

Имееться в виду дропать трафик со всех пулов ip китая?

Имееться в виду дропать трафик со всех пулов ip китая?

задача так и звучала по-моему

Ок, спасибо. Если есть еще варианты буду рад...

Ок, спасибо. Если есть еще варианты буду рад...

тогда может строить задачу чуть по-другому? допустим ограничить количесвто коннекшнов с одного адреса на 80 порт?

Это еще вчера сделал, главная опасность это попытки стучаться в конфиги. Поэтому логичнее отсылать их в "нарнию" еще на входе в сеть

там где стоит nginx установите модуль geoip для iptables, а потом просто iptables -I INPUT -ieth0 -m geoip --source-country CN -j DROP

и никто из китая не будет стучатся на конфиги

и никто из китая не будет стучатся на конфиги

Ну и не только на конфиги

не думаю что товарищу нужны посетители на его сайте из страны восходящего солнца

я бы и нидерланды тоже запретил :)

при желании, можно еще и fail2ban поднять, подправить регулярки и банить, банить, банить :))

мечта :)

у меня fail2ban банит сразу на микротике

у меня fail2ban банит сразу на микротике

можно на l7 уровне банить по ключевому слову (имя конфиг файла)

боты, как правило, сканят на все уязвимости которые знают, не вижу особого смысла нагружать маршрутизатор по этому поводу, там где вебсервер стоит мощи полюбому побольше, пусть он и работает

во ,пойду себе настрою бан по 404

Почти все не управляемое.

Неуправляемый свитч в проде в 2019? Серьёзно?

можно на l7 уровне банить по ключевому слову (имя конфиг файла)

Если http

коллеги, подскажите. После обновления CHR до 6.44.1 стал рвать sstp соединение между офисами периодически. Причем только до одной точки, до hAP AC lite. Пробовай ее тоже обновить - не помогло. Вторая точка работать стабильно при этом. В логах просто terminating - connection timeout

Инет на обеих сторонах при этом стабильный, не рвется

Кто нибудь делал батник или что то подобное под винду, который сможет подключиться к микрошке и потушить маршрут или vpn?

Кто нибудь делал батник или что то подобное под винду, который сможет подключиться к микрошке и потушить маршрут или vpn?

Зачем батник? Пинга хватает

А вся магия на стороне микрота

Это в фаерволе настраивается?

фаервол, скрипт, нетвотч, вот это всё

Как это называется? :)

Порт кнокинг?

Поэтому как то сложно что-то конкретное говорить. Сейчас с IPSec крутить вертеть начали сильно

Кажется сейчас турбулентное время IPSEC, нужно таки поднимать запасной openvpn сервер на случай возможного отвала ipsec в грядущих апдейтах

Если http

По условию порт 80

Добрый день, а настраивал ли кто-нибудь IPSEC? сам пока делетант в этом вопросе, настроить различными способами получилось, но осталось несколько практический вопросов

1. Какова средняя скорость обмена между двумя микротиками, при 100 мегабитном интернете

2. Есть ли для микротика разница в алгоритмах шифрования? настроил, смотрю нагрузка на проц. не меняется, но тем не менее, интересует вопросы оптимизации ipSEC

ну.. и самый главный вопрос. Между двумя пирами(микротиками с белыми IP), настроить получилось, пробовал разными способами, в транспортном режиме, и в тунельном, и IPSEC+IPIP+IKE2, и просто

По другому мануалу, настроил падглючение айфона, при этом айфон, естественно с динамическим IP. Что пугает, не совсем понимаю как получилось настроить, может ли кто нибудь "разжевать" инструкцию? Ну и опять же: скорость, какова средняя скорость IPSEC+IPIP

По другому мануалу, настроил падглючение айфона, при этом айфон, естественно с динамическим IP. Что пугает, не совсем понимаю как получилось настроить, может ли кто нибудь "разжевать" инструкцию? Ну и опять же: скорость, какова средняя скорость IPSEC+IPIP

https://m.habr.com/ru/post/438176/

да-да.. отличная статья

выучил ее наизусть

Именно по ней, я все опробовал

Но..

Исходя из этой статьи, для того чтобы соединить белый IP c динамическим, мне надо прикручивать L2TP