Привет коллеги для начала с пятницей Вас ! Вопрос: есть микроты и rsa key сгенирированный на линухе все работает хорошо добавил ключь авторизация по ssh на ура без пароля при этом авторизация ssh по паролю на сколько я понимаю из опытов + нашел пару статей отключается. Можно это обойти что бы работала аунтификация по паролю+SSH ?

always-allow-password-login (yes | no; Default: no)

always-allow-password-login (yes | no; Default: no)

Точного мануала нет, а так я не до конца понимаю че делаю

Эксперт только что отписался что икев2 в микротик такой же как опенвпн🤦‍♂

Пока не настолько сильно чтобы работало

Я опенврт на асус ставлю щас...

Решил фаервол оптимизировать и процессор разгрузить... но что-то не очень пока получается. 😞

А железо то какое?

Подскажите пожалуйста notrack в raw срабатывает только, когда включен fasttrack? Прописываю в свой 951 микротик домашний, который с офисом соединен по чистому ipsec site-to-site такие правила: /ip firewall raw add action=notrack chain=prerouting src-address=10.1.101.0/24 dst-address=10.1.202.0/24 add action=notrack chain=prerouting src-address=10.1.202.0/24 dst-address=10.1.101.0/24 а они не срабатывают...

Без hw IPSec сложно будет. Точнее не возможно добиться большой скорости.

я понял. пока хочу максимально проц разгрузить, не нравится мне, что он загружается сильно. Решил с ipsec начать и с фаервола.

Fasttrack это немного про другое чем notrack

Уберите IPSec :)

951G-2HnD

Запрети очередями трафик больше 10мбит через ipsec туннель, чтобы процессор не сжигать

Спасибо, понял, сделаю. Но мне вот это не дает покоя: Solution is to use IP/Firewall/Raw to bypass connection tracking, that way eliminating need of filter rules listed above and reducing load on CPU by approximately 30%. /ip firewall raw add action=notrack chain=prerouting src-address=10.1.101.0/24 dst-address=10.1.202.0/24 add action=notrack chain=prerouting src-address=10.1.202.0/24 dst-address=10.1.101.0/24

Без коннтрэка у тебя не будет работать нат (если я не ошибаюсь)

Ты хочешь через raw файрволл отдельные пакеты гонять мимо коннекшн трекера

Если слабо представляешь возможные последствия неправильной настройки рав файрволла - лучше не лезь - я серьёзно

делаю все мануалу: https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Tunnel_mode более ничего не трогаю.

Фасттрек отключите для IPSec. В рав добавьте ноутрэк для вашего внутреннего трафика (IPSec)

Фасттрек отключите для IPSec. В рав добавьте ноутрэк для вашего внутреннего трафика (IPSec)

Не думаю, что он этим ощутимо разгрузит процессор

где-то была ошибка! удалил старые правила, создал новые заново, и все заработало

However, this can add significant load to router's CPU if there is a fair amount of tunnels and significant traffic on each tunnel. Solution is to use IP/Firewall/Raw to bypass connection tracking, that way eliminating need of filter rules listed above and reducing load on CPU by approximately 30%.

However, this can add significant load to router's CPU if there is a fair amount of tunnels and significant traffic on each tunnel. Solution is to use IP/Firewall/Raw to bypass connection tracking, that way eliminating need of filter rules listed above and reducing load on CPU by approximately 30%.

Это актуально на большом трафике, он больше 15мбит не протащит на mipsbe с ipsec

Ну вот

в рав правила стали срабатывать, но трафик перестал ходить 😊

А какие правила то вы добавили?

могу я просто добавить в верхнее правило c est и rel плюсом untracked?

могу я просто добавить в верхнее правило c est и rel плюсом untracked?

Да

в дефолтном там только est и rel

У тебя старые представления о дефолтах :)

настраивал все с нуля по: https://wiki.mikrotik.com/wiki/Manual:Securing_Your_Router#IPv4_firewall_to_a_router

Подскажите еще пожалуйста, в какую сторону читать. Сейчас в центральный офис подключены филиалы site-to-site ipsec - около 11 штук филиалов, все настроено вручную. Адресация 192.168.Х.У/24 везде. Как научить филиалы общаться между собой?

ospf

Сбрось любой 6.41 в дефолт и сравни с твоим

можно еще вот так /system default-configuration print