Moneron 🇷🇺
Закройте неиспользуемые сервисы в raw и не придумывайте с листами
Andy
Сяб) так и сделаю)
Vlad
И вообще пакет флоу диаграмм смотри. Легче жить станет )
Andy
Рав дроп и так стоял на блэк лист
Vlad
А правило добавления в адрес лист не кривое?
Vlad
А то 33к очень много
Andy
Нет. До этого спокойной работало. По одному два айпи прилетало в течении пару лет. За две недели 33к
Anonymous
@asitnikov26 будет жить. Поприветствуем!
Anonymous
@tgm99 будет жить. Поприветствуем!
DaySandBox
Message from Leader deleted. Reason: new user and external link (?)
Moneron 🇷🇺
@tgm99:
Leader:
Всем привет, запутался в документации. Что такое scope и target-scope в /ip routes? В forvard всё входящее из "eth3" mark-connection "eth3-conn", в preroute всё из других портов имеющее маркировку "eth3-conn" mark-route "eth3-route". В /ip routes создаю правило 0.0.0.0/0 и с маркировкой "eth3-route" отправлять в eth3, distance1 всё работает, пока не появляется другой шлюз по умолчанию У которого distance 3. И трафик уходит туда где distance 3
Moneron 🇷🇺
Scope и target scope – это средство управления рекурсивным поиском nexthop-а. Если у вас нет маршрутов recursive via <ip>, то они тут точно не при чём
Anonymous
recursive нет, блин а почему может трафик уходить в шлюз по умолчанию с большей distance?
Moneron 🇷🇺
Сделайте ip route print detail, выложите на pastebin, ссылку сюда
Moneron 🇷🇺
Сделайте ip route print detail, выложите на pastebin, ссылку сюда
Leader:
pastebin.com/7dKjfvdq
Moneron 🇷🇺
В таблице выглядит всё ок
Anonymous
Второй маршрут сделан чтобы работало пока не починю. Активирую третий, и весь трафик начинает идти туда, но маркировка есть, я проверял
Anonymous
Соединения из eth3 сначала маркирую в forvard
conecrion-mark, потом в preroute все соединения не из !eth3 с маркировкой маркирую через mark-route. Но не идёт в шлюз по умолчанию для этой маркировки и с меньшей дистанцией, идёт в общий шлюз по умолчанию дистанция в котором больше
Moneron 🇷🇺
Вы пишете про табличку eth3_route , а в конфиге eth10_route. проверьте
Anonymous
Я просто в объяснении написал eth3 для простоты
Moneron 🇷🇺
Если вы траф отправляете в несуществующую таблицу – он вылетит в main
Anonymous
В маркеровке и в routes маркировки совпадают
Anonymous
Сам уже себя перепроверял, переименовывал обе
Moneron 🇷🇺
Тогда давайте на пасту /ip fi man export
Ссылку вытащу из истории
Moneron 🇷🇺
Leader:
pastebin.com/mbuREpEc
Moneron 🇷🇺
Так. И что в итоге не работает?
Anonymous
При активации третьего правила в ip routes весь трафик начинает уходить через третье правило
Moneron 🇷🇺
И сделайте для первого правила connection-mark=no-mark
Moneron 🇷🇺
Anonymous
Да, но у впн правило создано вручную
Anonymous
Создание default-gateway у vpn отключено
Moneron 🇷🇺
Мне даже самому интересно, где у вас косяк. Если подождёте минут 15 – могу завалиться тимвьювером и поковыряться
Anonymous
Подожду
Anonymous
Пока его скачаю
Артем
Dmitry
Если наружу, то логично что будут отработаны только "ответные" соединения по eth10, а новые клиентские полетят в default через main
Dmitry
А в main он у вас один, да ещё и через interface, если все правильно понял
Moneron 🇷🇺
А в main он у вас один, да ещё и через interface, если все правильно понял
Не. Смотри, там паста выше была
Dmitry
Хорошо: в main через 172 с дист. 3 / через интерфейс (отключен который) дист. 2
Vassiliy
Товарищи, один вопрос, при включённом fast track, mangle не обрабатывается, или что-то другое, вспомнить не могу
Moneron 🇷🇺
Для фасттрекнутого трафика практически ничего не работает, что после коннтрека в прероуте
Moneron 🇷🇺
Ищите в молдовском муме 2015 года презенташку fastpath overview
Dmitry
Если вдаваться в предысторию, куплен модем был людьми, которые не представляют, что проблемы совместимости хардварей вообще существуют. Сам микротик должен обеспечивать интернетом кассовый терминал, который подключается к нему через lan-шнур. Ближайший провайдер проводного интернета будет очень долго тащить к пункту назначения кабель, поэтому и было принято решение использовать модем.
Я сам (благо) не имею к этому особого отношения, но было бы очень любопытно разобраться во всем этом аду
Zte - темная сторона силы :) но конкретно этот имхо должен работать. Если нет, открываем Авито и ищем любое, что можно перешить в owrt. И либо используем его полностью, либо как "конвертер среды" для мт. Серьезно, сам так тысячу раз делал :)
😷Драничек
Если вдаваться в предысторию, куплен модем был людьми, которые не представляют, что проблемы совместимости хардварей вообще существуют. Сам микротик должен обеспечивать интернетом кассовый терминал, который подключается к нему через lan-шнур. Ближайший провайдер проводного интернета будет очень долго тащить к пункту назначения кабель, поэтому и было принято решение использовать модем.
Я сам (благо) не имею к этому особого отношения, но было бы очень любопытно разобраться во всем этом аду
У нас тоже есть торговая точка, куда ни один провайдер не тянет провода. Проблему решили за 5000р. покупкой wAP LTE kit
Dmitry
https://m.habr.com/ru/post/188424/ вот, для похожей древности
Геннадий
если кому интересно:
:global nattest [ip cloud get warning];
:if ($nattest = "Router is behind a NAT. Remote connection might not work.") do={/interface pppoe-client enable pppoe-out1};
Геннадий
скрипт проверяет за натом ли мы, и если да, то переподключает соединение
Геннадий
полезно дома, где перодичеси выдают белый адрес
Vladimir
в смысле включает соединение?
Геннадий
включение уже включенного интерфейса его переподключает
Геннадий
а вот вам продолжение...
Геннадий
/ip ipsec policy set [find comment="1.ru"] sa-src-address=[:resolve domain-name=1.ru] sa-dst-address=[:resolve domain-name=2.ru];
/ip ipsec peer set 2.ru address=[:resolve domain-name=2.ru] passive=no;
Геннадий
это изменение ip адресов в ипсек туннеле
Nikita
Геннадий
если с обеих сторон есть динамические белые адреса, то микротик не может сделать туннель, ибо... руки не дошл у разрабов до впиливания туда адресной строки
Геннадий
но можно так сделать :)
Moneron 🇷🇺
В 6.45 вроде добавили возможность нахлобучивать айписец при настройках гре/ипип по доменным именам и без локал адреса
Геннадий
да, там есть, а на ipsec нет
Геннадий
кстати, покрутил дома hex s, оказалась прикольная железка
Vladimir
Moneron 🇷🇺
в бете
Moneron 🇷🇺
Ченджлоги-то читайте
Vladimir
а.
Vladimir
бета - это бета, в stable может и не всё ж уйти
Moneron 🇷🇺
Единственный rollback, который я видел — это в 6.40rc запилили новые бриджи, и в 6.40 stable Они не вышли, а перенеслись на 6.41. Других роллбэков не припомню
😷Драничек
Вроде с аппаратным айписеком была такая же ситуация на 3011
Moneron 🇷🇺
Вроде с аппаратным айписеком была такая же ситуация на 3011
Да, точно. в 43рц был, а в стейбле только к 43.1 запилили
Vladimir
Ну, то есть, такое вполне может быть, но вероятность менее 50%
Anonymous
Хочу выразить огромную благодарность администратору Alex T, за помощь в решении моего вопроса. Человек надёжный и квалифицированный, огромный ему респект!
Moneron 🇷🇺
You're welcome! Приходите на курсы, многому научу :)
Cumberbatch
Moneron 🇷🇺
Фасттрек )
Anonymous
Даа, был фасттрек)
Anonymous
А когда курсы? Дорого стоят? Я бы пришёл
Moneron 🇷🇺
https://mikrotik-courses.ru/
Ищите удобный город, планируйте, приезжайте.
Геннадий
Таки да, приходите на курсы... Ваша задача на курсах - прочитать между строк все то, что тренер говорит...