Александр
но телефон я настроил, по этой прекрасной статье https://jcutrer.com/howto/networking/mikrotik/ios-ikev2-vpn-mikrotik
Александр
Но этот манул противоречит мануалу на хабре
Александр
Ну и хотелось бы уточнить по скорости
Cumberbatch
Ну и хотелось бы уточнить по скорости
Скорость Будет зависеть от железа на котором вы используете IPSec. Есть ли там поддержка IPSec hw.
Александр
Александр
К одному "железу" у меня вопросов нет, так как это CCR1036
Cumberbatch
Ну и хотелось бы уточнить по скорости
Для каждой модели микротик на сайте есть таблица с тестами по скорости
Александр
второе" железо" - RB951G
Александр
https://mikrotik.com/product/RB951G-2HnD#fndtn-testresults
Александр
куда смотреть?
Maksim
+ На вики микротика есть сводная таблица по моделям маршрутизаторов, поддерживающих hw на различных типах шифрования.
Александр
Как я уже понял HW IPSEC нет
Александр
нет-нет на нем
Александр
во вкладне Штыефддуы SAs, в свойствах SA, так и написанно Hardware AHEAD неактивно
Maksim
На нем нет и он слабоват и устарел для хорошей производительности. Поэтому для моделей, которые не поддерживают аппаратное шифрование на сайте нет тестов для ipsec
Cumberbatch
https://mikrotik.com/product/RB951G-2HnD#fndtn-testresults
Ну правильная ссылка. Смотрите таблицу с IPSec
Maksim
https://wiki.mikrotik.com/wiki/Manual:IP/IPsec здесь та самая табличка по устройствам
Cumberbatch
На нем нет и он слабоват и устарел для хорошей производительности. Поэтому для моделей, которые не поддерживают аппаратное шифрование на сайте нет тестов для ipsec
Вот же написали. Кто не поддерживает тестов нет. 40 мбит примерно получите на 951
Александр
Ну а если без таблиц, опытным путем. У меня у меня средняя скорость Branwidth test в один канал передача или отправка - 17 Mbps, а при смешанном Tx/RX 11.3Mbps/5Mbps
Cumberbatch
Ну а если без таблиц, опытным путем. У меня у меня средняя скорость Branwidth test в один канал передача или отправка - 17 Mbps, а при смешанном Tx/RX 11.3Mbps/5Mbps
Либо пакеты меленькие. Либо очень сильное шифрование
Александр
алгоритмы на IKEV2: SHA256, aes-256-cbs
Александр
на SA: Hash - sha256, enc.alg - aes-128, DH Group modp2048
Александр
Я как понимаю, для обмена ключами, особо неважна сложность алгоритма.
Александр
А для SA, данные алгоритмы сильно тяжелые?
Rodion
А для SA, данные алгоритмы сильно тяжелые?
https://clck.ru/Eb3if
тут есть пункты ipsec и пункты ipsec с дополнительной инкапсуляцией
aes-256 или aes-128 никак не вияют, хотя для soc с аппаратной разгрузкой небольшая разница есть, но только лишь небольшая
По моему опытку, l2tp/ipsec на устройствах уровня hap lite & etc обеспечивают 18 мегабит полудуплекса, 951 до 22мбит независимо от параметров шифрования ipsec
404
Привет. Подскажите для защиты от arp спуфинга достаточно настроек:
В конфигурации «IP -> DHCP Server» поставить галочку «Add ARP For Leases».
В настройки интерфейса (бриджа) необходимо для ARP выставить reply-only.
Или может ещё есть доп настройки?
Александр
https://clck.ru/Eb3if
тут есть пункты ipsec и пункты ipsec с дополнительной инкапсуляцией
aes-256 или aes-128 никак не вияют, хотя для soc с аппаратной разгрузкой небольшая разница есть, но только лишь небольшая
По моему опытку, l2tp/ipsec на устройствах уровня hap lite & etc обеспечивают 18 мегабит полудуплекса, 951 до 22мбит независимо от параметров шифрования ipsec
И, обращаясь к опыту, В каких ситуациях естть смысл делать l2tp/ipsec?
Александр
из статьи что выше не совсем понятно.
Cumberbatch
И, обращаясь к опыту, В каких ситуациях естть смысл делать l2tp/ipsec?
Статика и динамика например
Александр
почему нельзя, использовать просто ipsec в туннельном режиме +mod config
Александр
ну вот, я настроил телефон, телефон имеет динамический IP, подключается к статике
Александр
IP адрес выдается через mod config
Александр
все отлично работает, телефон ресурсы сети видит, шифрование работает. При этом тунель не создается
Александр
т.е. IPSEC нормально работает с динамическими IP
Александр
собственно и вопрос, зачем дополнительно городить l2tp
Rodion
т.е. IPSEC нормально работает с динамическими IP
Не все устройства умеют в ikev2
И иногда (но далеко не всегда) нужен L2
Александр
т.е. в случае использования 2х микротиков, можно смело обходиться IPSEC в тунельном режиме. А в случае когда мне нужен интерфейс, то я могу создать IPIP
Rodion
Ну и чего греха таить - быстро натыкать PSK в настройках l2tp сервера 😄
Еще и полноценный интерфейс, со всеми вытекающими
Александр
т.е если нужен интерфейс со всеми вытекающими, то есть смысл тыкать IPIP или L2TP
Александр
L2TP, настраивают для большей совместимости, с различными устройствами
Cumberbatch
т.е если нужен интерфейс со всеми вытекающими, то есть смысл тыкать IPIP или L2TP
Если статика кругом то айпиайпи
Александр
виндой и тд
Александр
Но в любом случае, я делаю IPIP или L2TP, когда мне по какой либо причине нужен интерфейс в микротике, или нужно обеспечить совместимость с клиентами. Так?
Cumberbatch
Но в любом случае, я делаю IPIP или L2TP, когда мне по какой либо причине нужен интерфейс в микротике, или нужно обеспечить совместимость с клиентами. Так?
Когда нужно тогда и делайте. Хватит уже об одном и том же
Nikita
Народ, кто на чем SSL CA разворачивает с поддержкой CRL итп?
Александр
Когда нужно тогда и делайте. Хватит уже об одном и том же
спасибо, я просто чтобы уточнить что я правильно понимаю. В целом, пока на все вопросы ответы получил. По скорости ясно, по туннелям тоже. спасибо
404
Привет. Подскажите для защиты от arp спуфинга достаточно настроек:
В конфигурации «IP -> DHCP Server» поставить галочку «Add ARP For Leases».
В настройки интерфейса (бриджа) необходимо для ARP выставить reply-only.
Или может ещё есть доп настройки?
Nikita
Привет. Подскажите для защиты от arp спуфинга достаточно настроек:
В конфигурации «IP -> DHCP Server» поставить галочку «Add ARP For Leases».
В настройки интерфейса (бриджа) необходимо для ARP выставить reply-only.
Или может ещё есть доп настройки?
Думаю достаточно. Но будь осторожен с многосегментными сетями (гостевая+офисная например )
404
Nikita
Зацепишься за офисную сетку, переключишься на гостевую, получишь проблемы
Nikita
Пока не истечёт срок аренды дхцп
Nikita
Из-за наличия статик арп записей с этим мак адресом в другом сегменте
Nikita
Поправьте меня если я заблуждаюсь, но я помню эти проблемы и с тех пор не практикую
Dmitry
Привет. Подскажите для защиты от arp спуфинга достаточно настроек:
В конфигурации «IP -> DHCP Server» поставить галочку «Add ARP For Leases».
В настройки интерфейса (бриджа) необходимо для ARP выставить reply-only.
Или может ещё есть доп настройки?
Достаточно в комбинации с dhcp snooping
Midnight
Гуд
Dmitrii
коллеги, подскажите. После обновления CHR до 6.44.1 стал рвать sstp соединение между офисами периодически. Причем только до одной точки, до hAP AC lite. Пробовай ее тоже обновить - не помогло. Вторая точка работать стабильно при этом. В логах просто terminating - connection timeout
в результате тестов выяснилось, что если поменять тип соединения на L2TP - проблема разрыва исчезает.
Разрыв в SSTP проявляется под любой нагрузкой, любой пинг проходит на ура, ставишь закачку - terminate со стороны hap (он клиент тут)
второй офис продолжает работать с последней прошивкой через SSTP без проблем.
Куда копнуть?
Чиркин
Коллеги подскажите команду чтоб перевести 200 влан с одного порта на другой
Dmitrii
Использовать цикл for?
Чиркин
Не силен я в этом
Чиркин
Пока нашел решение через find interface=
Dmitrii
https://asp24.com.ua/blog/rassmotrim-rabotu-tsiklov-for-and-foreach/
в действиях пишете смену одного влана, номер меняете на $X
Nickolay
Александр
Юрий
vavy
Александр
Добрый день, есть тут кто работает с IPSEC, второй день бьюсь возник очередной глупый вопрос, ответа на которой не могу найти в мануалах
Mikrotik new version checker
🔥 [stable] New version has been released!
Version: 6.44.2 (stable)
#mikrotik #routeros #update #packages #checker #stable #new
https://telegra.ph/Changelog-6442-stable-04-04
Александр
Наверное, все видели этот мануал https://m.habr.com/ru/post/438176/
Александр
Тут, к iPSec обязательно создается туннель
Александр
т.е Либо ipsec работает в транспортном режиме, при этом используется IPIP или L2TP тунель, либо сам IPSEC работает в тунельном режиме
Александр
Собственно с данными вариантами разобрался, но есть эта инструкция