вафля

а что с вафлей ?

в стандалоне работает приемлемо, под капсманом - печаль-беда-огорчение

пятерочий интерфейс вообще пришлось отключить, он худо-бедно завелся с бета прошивкой, а со стабильной поджигался только на 54 мегабитах

но даже с бетой в чистом эфире больше чем на 150 раскачать не удалось

в стандалоне работает приемлемо, под капсманом - печаль-беда-огорчение

может не допилили прошивку? что-то похожее было с ac2

может не допилили прошивку? что-то похожее было с ac2

Вроде же прошивка одна на все устройства или нет? :)

Надо было брать 4011 без радиво и #зухелькинетик kn1810 в качестве точки доступа 😄

на 2.4 тоже как-то подозрительно

стоящий на другом этаже 751 работает лучше, чем 4011 в той же комнате

не знаю, мб у меня руки растут оттуда же, откуда ноги

но ожидал я от него сильно большего

но ожидал я от него сильно большего

ИМХО рано делать выводы..пусть пройдет несколько обновлений ROS и хотелось бы поболее живых примеров от других пользователей - тогда можно делать выводы.

а я не говорю, что плохой девайс. я говорю, что он меня расстроил

в стандалоне, как уже говорил, работает норм

в стандалоне, как уже говорил, работает норм

тестировали , например, с этой же конфигурацией на других устройствах? интересно, как они себя бы повели в плане wi-fi...За аналог что там более менее равнозначно в количестве чейнов...hAP ac, Wap ac? но там 3 против 4-х

нет, у меня других железок с ac нет

нет, у меня других железок с ac нет

я бы поделился своим AC из любопытства, но я в Минске

2 правила src-nat и всё. Не нужен мангл

Тогда один активны маршрут, второй синеет и через него не ходит

нарпимер по dst-ip - указывая белый ип? source ip list - указывая подсеть? add action=mark-connection chain=input in-interface=ISP2 new-connection-mark=ISP2-conn все пытаются сослаться на ин/аут интерфейс, что мне не пролазит, как еще можно классифицировать?

А в чем проблема влан интерфейс 2130 обозвать ISP1 а 1130 ISP2 и далее как обычно

Тогда один активны маршрут, второй синеет и через него не ходит

А вы уверены, что у вас шлюзы разные? Сделайте пинг до обоих адресов шлюзов и найдите их в арп-таблице

Если маки одинаковые – то глубоко пофиг, какой шлюз будет активен.

А в чем проблема влан интерфейс 2130 обозвать ISP1 а 1130 ISP2 и далее как обычно

Сань, интерфейс один. Два ипа на нём.

Добрый день. Имеются следующие исходные данные: есть центральный офис и филиал. В филиале стоит RB951G-2HnD (ох уж эти названия у Микротиков), в офисе оборудование другого вендора. Между ними поднят ipsec туннель. Сети друг друга видят, всё хорошо. Нужно, чтобы пользователи из филиала выходили в Интернет через шлюз в центральном офисе. Подскажите, пожалуйста, как на Микротике завернуть весь трафик в туннель? И возможно ли это вообще, а то в сети я что-то не нашёл рабочих вариантов.

Все остальное, это 0.0.0.0/0

Направляйте свою сеть туда, и будет Вам несчастье.

И помните правило, что сеть ходит по самой узкой маске

Добрый день. Имеются следующие исходные данные: есть центральный офис и филиал. В филиале стоит RB951G-2HnD (ох уж эти названия у Микротиков), в офисе оборудование другого вендора. Между ними поднят ipsec туннель. Сети друг друга видят, всё хорошо. Нужно, чтобы пользователи из филиала выходили в Интернет через шлюз в центральном офисе. Подскажите, пожалуйста, как на Микротике завернуть весь трафик в туннель? И возможно ли это вообще, а то в сети я что-то не нашёл рабочих вариантов.

Необходимо изменить политику для того что бы все адреса dst подпадали под неё на микроте. А в офисе настроить нат для сети Филиала и также политику что все src для вашего филиала тоже подпадали. Это вкратце

Все остальное, это 0.0.0.0/0

ну, концепция то понятна. Вопрос в технической реализации. IPsec, насколько я понимаю, не работает со статической маршрутизацией. Да и с динамической тоже.

ну, концепция то понятна. Вопрос в технической реализации. IPsec, насколько я понимаю, не работает со статической маршрутизацией. Да и с динамической тоже.

Странное у Вас понимание. Каким образом ипсек пересекается с маршрутизацией?

Это как сказать, что замок не умеет работать со светофорами

Давайте на pastebin.com

да понял уже ))

https://paste2.org/NW34J08d

почему круво роутится трафик ?

при то, что с удалённой тачки я запускаю пинг до 192.168.22.11

а нет, до 192.168.200.1

но так или иначе

В микротике можно использовать пинг и трасероут от нужного адреса

192.168.22.1 на интерфейсе vpn

Для тестов компы не нужны

Выбираем существующий адрес из назначеного ему. И там смотрим прохожление

И по порядку ищем пути прохождения

Напомните пожалуйста как разделить подключения 2х l2tp клиентов на разные публичники в разные таблицы маршрутизации

Можно поместить в разные адрес листы, и их рулить

так воркает

так воркает

Адвансед, выставить нужный адрес

Откуда пинговать

Интерфейс в принципе можно убрасть

Лучше трейсроутом. Там увидите куда идет

так, почему то натит его

Там тоже можно выбирать от кого пинговать, и в какой таблице

jun/04 03:05:08 firewall,info debug postrouting: in:(unknown 0) out:ether13, proto ICMP (type 8, code 0), 192.168.22.11->192.168.22.1, NAT (192.168.22.11->46.48.x.x)->192.168.22.1, len 50

Ищите, почему. Каким правилом...

но натит, т.к. при проутинге попадпет не на тот интерфейс

Необходимо изменить политику для того что бы все адреса dst подпадали под неё на микроте. А в офисе настроить нат для сети Филиала и также политику что все src для вашего филиала тоже подпадали. Это вкратце

Благодарю Вас!

Странное у Вас понимание. Каким образом ипсек пересекается с маршрутизацией?

Видимо, я некорректно выразился. Я про то, что отправить маршрут по умолчанию через ip-routes с ipsec не сработает. Но выше уже подсказали в каком направлении смотреть.

Смотрите, какая разница пакетам, куда их направят? Использовать натинг нужно тогда, когда роутитнг не справляется. Это бест практикс.

Если Вы отправляете всё в шлюз на той стороне, то все пройдет и без ната со стороны филиала

попробую. Спасибо за помощь!

Ищите, почему. Каким правилом...

https://i.imgur.com/xKOTXR0.png

jun/04 03:12:49 firewall,info debug postrouting: in:(unknown 0) out:bridge0, proto ICMP (type 8, code 0), 192.168.200.1->192.168.22.1, len 56 jun/04 03:12:50 firewall,info debug postrouting: in:(unknown 0) out:bridge0, proto ICMP (type 8, code 0), 192.168.200.1->192.168.22.1, len 56 jun/04 03:12:51 firewall,info debug postrouting: in:(unknown 0) out:bridge0, proto ICMP (type 8, code 0), 192.168.200.1->192.168.22.1, len 56 jun/04 03:12:52 firewall,info debug postrouting: in:(unknown 0) out:bridge0, proto ICMP (type 8, code 0), 192.168.200.1->192.168.22.1, len 56 jun/04 03:12:53 firewall,info debug postrouting: in:(unknown 0) out:bridge0, proto ICMP (type 8, code 0), 192.168.200.1->192.168.22.1, len 56

как так ?)

я не могу пинговать с одного интерфейса другой

фаервол вообще выключен

https://i.imgur.com/xKOTXR0.png

Вот тут интерфейс bridge0 уберите. В окне traceroute

Вот тут интерфейс bridge0 уберите. В окне traceroute

да, так сам себя пингую

но удалённый нет

https://i.imgur.com/koovCzv.png

а вот так ок

https://i.imgur.com/LrTZ30V.png

дичь

так, на соседнем микротике всё оки

пришивки одинаковые

вам сверху предложили выложить конфиг на pastebin

целиком, но без паролей

А в чем проблема влан интерфейс 2130 обозвать ISP1 а 1130 ISP2 и далее как обычно

так они в одном вилане, придется ISP1 в ISP2 переименовывать 😊

короче это был какой то баг )

я ребутнул роутер и всё стало работать как надо

такой вопрос: на микроте настроен vpn client, необходимо сделать так, чтобы на vpn висели не все машины в сети, а только с определенными (статическим) адресами. можно такое сделать?