Поставьте логирование на deny правила

сейчас поставлю

Ну, в принципе норм такой костыль..

ну не костыль а один из способов диагностирования

ну так если пакеты постоянно будет идти, то туннель не уснет

эта, конекшон трекер на сколько таймаут стоит?

ну так если пакеты постоянно будет идти, то туннель не уснет

вот пока не пробовал не факт

совсем глуппый вопрос, где логгирование правил FW включается?

совсем глуппый вопрос, где логгирование правил FW включается?

в правиле. про конекшон трафик посмотри прямо щас

это где?

/ip firewall connection tracking print

хотя в последних прошивках в дефаулте там вроде везеде час но надо проверить

Поставьте логирование на deny правила

Там по 20 строк в секунду

на инпут

Даже не знаю, кто все эти люди..

/ip firewall connection tracking print

1d

1d

поставь 1 час.

и вот еще посмотри вот это

https://www.youtube.com/watch?v=wGDTWaDL8jc&t=667s

тут очень чотко расписано как убирать айписек из нужного и засовывать в нужное и много всего еще

я уже не помню до конца твою проблему и нетак компетентен чтобы разбираться в чужом но тут возможно ты найдешь ответ или по крайней мере избавишься от части предположений

https://pastebin.com/WJ4xzHxg

Тут все хорошо на первый взгляд. Давайте другую сторону

я уже не помню до конца твою проблему и нетак компетентен чтобы разбираться в чужом но тут возможно ты найдешь ответ или по крайней мере избавишься от части предположений

спасибо, скопировал в заметки

тут очень чотко расписано как убирать айписек из нужного и засовывать в нужное и много всего еще

А где там про IPSEC расписано? Я недавно смотрел это выступление, сейчас перечитал презенташку...

я, кстати пока не узнал как sip хелпер работает и конекшон тракер долго понять не мог схерали некоторые телефоны изза ната перестают быть доступны но могут звонить и перезапус перерегистрации нихрена не помогают а как раз запись в контрэкере стоит пока таймаут не выйдет и все

А где там про IPSEC расписано? Я недавно смотрел это выступление, сейчас перечитал презенташку...

там не про ipsec тамкак его фаирволом отработать

Тут все хорошо на первый взгляд. Давайте другую сторону

https://pastebin.com/W3A1FeSA

тут немного сложнее..

вот скрин

там не про ipsec тамкак его фаирволом отработать

кроме 49 страницы про ipsec ничего нет... и то там два правила, которые как "отче наш"...

ну я вот тоже смотрю немного первыми в форварде и еще в маскарадинге чтоб не натило

но ведь наверно это и все?

https://pastebin.com/W3A1FeSA

Тут сразу несколько замечаний. untracked не разрешён forward. IpSec policy не разрешён forward

что еще должно быть?

Тут сразу несколько замечаний. untracked не разрешён forward. IpSec policy не разрешён forward

а «IpSec policy» как то отдельно нужно разрешать?

я думал она в самом вверху разрещон forward

untracked добавил

а «IpSec policy» как то отдельно нужно разрешать?

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec

add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec

В первом конфе это есть

В первом конфе это есть

сейчас добавилю. Но я думал в первом конфе, это сделано исключительно чтобы убрать ipsec из нижестоящего fasttrack

а в ip fi raw что прописано?

а в ip fi raw что прописано?

Ничего

сейчас добавилю. Но я думал в первом конфе, это сделано исключительно чтобы убрать ipsec из нижестоящего fasttrack

Я бы посоветовал дефолтный фв прописать. И потом свои правила добавить

Я бы посоветовал дефолтный фв прописать. И потом свои правила добавить

Да.. тоже над этим думаю, железка много лет настраивалась десятком людей

просто, ее не так просто вывести из эксплуатации для настройки

Да.. тоже над этим думаю, железка много лет настраивалась десятком людей

/system default-configuration print

просто, ее не так просто вывести из эксплуатации для настройки

Не нужно выводить. Все быстро делается. 1 минута.

так она затрет все что там сейчас

нет в экран выведет

в консоль

так она затрет все что там сейчас

Ничего не затрет. Вы увидите конфиги по дефолту

ну и тебе кто бакуп и экспорт запретил делать?)))

Предлагаю закончить. Александр все настроит потом отпишет.

Да, этот микрот за 50 км от меня находится. Сейчас сломается, и не будет больше америки...

угу

Предлагаю закончить. Александр все настроит потом отпишет.

Спасибо

add action=change-mss chain=forward comment="Change MSS for IPIP tunnel" new-mss=1300 out-interface=alx_home passthrough=no protocol=tcp tcp-flags=\ syn tcp-mss=1301-65535

вот про это где начать читать?

Это чтобы сайты открывались

а то часто видел и пару раз спрашивал ваще говорят сомнительное это оно

сайты? а просто не открываются???

вот про это где начать читать?

Google https://wiki.mikrotik.com/wiki/Manual%3AIP/Firewall/Mangle

у меня как бы нет проблем

У меня была проблема, что у VPN клиентов не открывались сайты корпоративной сети

вычитал, что проблема именно в MSS, снизил и все залетало

ну я в примере на pppoe про такое читал да

Google https://wiki.mikrotik.com/wiki/Manual%3AIP/Firewall/Mangle

пошел курить маны

Да, раньше когда провайдеры подключали по PPTP инет, то нужно было также изменять MSS

Привет всем Не подскажите что делать если сетка впн и сетка домашняя находятся в одном сегменте?

Поменять домашнюю сетку?

Привет всем Не подскажите что делать если сетка впн и сетка домашняя находятся в одном сегменте?

Менять домашнюю

Менять сетку ВПН))

Может какие нибудь костыли есть думал)

Может какие нибудь костыли есть думал)

А что нужно то? Что не устраивает?

Ничего не нужно. Предстоит столкнуться скоро, вот думаю может какие то проблемы возникнуть должны будут

Можно маркировать трафик и подменять ИП в две стороны. Но этот костыль опасно использовать. Только отчаянные будут использовать его)

Ничего не нужно. Предстоит столкнуться скоро, вот думаю может какие то проблемы возникнуть должны будут

Точно возникнут

Точно возникнут

Если соеденишся с впном доступ к домашней сетке пропадёт?

Или ещё что то?