Запилил IKE2 site-to-site из-за NAT на чистых туннельных полиси в обе стороны без gre

В обе стороны из-за NAT? oO

В обе стороны из-за NAT? oO

Тунель сквозь нат, трафик между филиалами летает по туннелю в обе стороны

Есть такая схема. С ноута до сервера проходят пинги и трэйсы (как и с ХАПа) НА ХАПе настроен маскарад всего трафика в интерфейс лупбэк, кужа забриджован тунель EoIPv6. При попытке отерыть SSH с ноута на сервак коннекта нет. Торчем смотрел трафик на обоих концах туннеля - ходят пакеты между 10.0.10.12 и 10.0.10.52 В чем может быть затык?

ЕОИП натянут между лупбэк бриджами с обеих сторон. Нужен именно Л2 туннель

ЕОИП натянут между лупбэк бриджами с обеих сторон. Нужен именно Л2 туннель

ммм, классика!

есть идеи?

непосредственно с ХАПа ССШ сессия поднимается

похоже дело в МСС - максимальный пинг проходит 1152 байта с ноута

@nokaru будет жить. Поприветствуем!

Как правильно сделать резервирование? Основной 3011 стоит в подвале и в него приходит оптика. Есть 962, который стоит этажем выше и используется в качестве точки доступа и свитча. В него можно поставить 4G модем. Как лучше организовать переключение?

похоже дело в МСС - максимальный пинг проходит 1152 байта с ноута

Добавил правило в мангл: chain=forward action=change-mss new-mss=1100 tcp-flags=syn protocol=tcp out-interface=loopback tcp-mss=1101-65535 счётчики по 0 и пакеты больше 1182 (с заголовком) байта умирают при запуске ССШ сессии счетчики на манг начинают тикать, но коннекта так и нет

Как правильно сделать резервирование? Основной 3011 стоит в подвале и в него приходит оптика. Есть 962, который стоит этажем выше и используется в качестве точки доступа и свитча. В него можно поставить 4G модем. Как лучше организовать переключение?

Можно это сделать через рекурсивные маршруты. Даже нужно

Можно это сделать через рекурсивные маршруты. Даже нужно

Через рекурсивные маршруты у меня работает когда резервирование когда все на одном устройстве. А тут 2 устройства и получает маршрут будет на локальный адрес в той же сети? Как тогда нат отработает?

Через рекурсивные маршруты у меня работает когда резервирование когда все на одном устройстве. А тут 2 устройства и получает маршрут будет на локальный адрес в той же сети? Как тогда нат отработает?

Так сделайте отдельную сеть для этого. В чем проблема?

Или харпин нат

У меня стик модем 4г, у него сетка штатная 192.168.8.1/24

Для примера, и я роучу на этот ип, и его в сети нет общей

У меня стик модем 4г, у него сетка штатная 192.168.8.1/24

Да, но тогда по вех физики надо будет делать vlan

Не обязательно, но почему нет?

Об этой сети будут знать только 2 устройства

Роутер наверху и роутер внизу

Не обязательно, но почему нет?

Я просто еще продумываю совсем писиместический вариант, когда 3011 откажет по питанию, чтобы все устройства обслуживаемые 962 остались с интернетом.

Зачем им влан?

А дхцп, а днс?

Это уже совсем из другой области....

На Вашу задачу я предложил решение

У меня похожее сделано

Есть такая схема. С ноута до сервера проходят пинги и трэйсы (как и с ХАПа) НА ХАПе настроен маскарад всего трафика в интерфейс лупбэк, кужа забриджован тунель EoIPv6. При попытке отерыть SSH с ноута на сервак коннекта нет. Торчем смотрел трафик на обоих концах туннеля - ходят пакеты между 10.0.10.12 и 10.0.10.52 В чем может быть затык?

Кое как удалось запустить эту схему при настройке изменения мсс на 1100 в обе стороны. Но если бриджевать напрямую порты, то где ловить этот трафик в мангле? ЕОИП интерфейс нельзя указать если он в бридже

Я просто еще продумываю совсем писиместический вариант, когда 3011 откажет по питанию, чтобы все устройства обслуживаемые 962 остались с интернетом.

Ну это надо уже смотреть, в сторону vrrp смотреть или ospf разворачивать с default route с разными метриками. Кастылями там не отделаешься.

Ну это надо уже смотреть, в сторону vrrp смотреть или ospf разворачивать с default route с разными метриками. Кастылями там не отделаешься.

Я уже думаю в сторону скриптов.

Ну и читаю про vrrp

Скрипфилия кончается обычно плохо.

Приветствую всех! А есть ли специ по Инфинетам тут ? или ссылку на профильный чатик

Приветствую всех! А есть ли специ по Инфинетам тут ? или ссылку на профильный чатик

В личку

Но вообще это не профильный клуб по infinet

Я уже думаю в сторону скриптов.

Со скриптами двоякое чувство. С одной стороны - можно много интересных вещей реализовать. С другой - и тормоза и путаница. В твоём случае можно придумать ещё такое решение - с основного линка поднять BGP сессию с кем-то в интернете и через BGP аннонсить 0/1, 128/1 (как более специфические маршруты), а на резервный маршрут прописать статик роут 0.0.0.0/0. Тогда переключение будет автоматическим на резерв при падении BGP линка. Топорно, но тоже вариант :)

Ну и народ любит рекурсивные маршруты, но меня пугает возможная ситуация, когда у провайдера проходит только ICMP и ничего более. Тогда интернет как бы есть, но его на самом деле нет и нужно что-то более высокоуровневое для проверки статуса линка. А тут либо скрипты, либо игры с протоколами маршрутизации.

Со скриптами двоякое чувство. С одной стороны - можно много интересных вещей реализовать. С другой - и тормоза и путаница. В твоём случае можно придумать ещё такое решение - с основного линка поднять BGP сессию с кем-то в интернете и через BGP аннонсить 0/1, 128/1 (как более специфические маршруты), а на резервный маршрут прописать статик роут 0.0.0.0/0. Тогда переключение будет автоматическим на резерв при падении BGP линка. Топорно, но тоже вариант :)

А, ну да, при анонсе ещё полисями надо будет set nexthop менять на gateway провайдера основного линка

там еще приоритет надо у одного из роутеров делать выше

да и перетыкать оно будет минуты 2 в лучшем случае

да и перетыкать оно будет минуты 2 в лучшем случае

Без bfd

Да все равно пока там у выше стоящих перестроиться

О, вот вам совсем отмороженное решение. В интернете ставим сервер с каналом, который по пропускной способности не меньше канала основного аплинка и без лимита по трафику. Поднимаем к нему 2 туннеля - через основной и резервный линк. (с этого места можно начинать смеяться) Поднимаем поверх этого MPLS. Поднимаем поверх этого VPLS канал, поверх канала кладём GRE, на удалённом сервере запускаем BGP, аннонсим 0/0. Если удалённый сервер жив, то все выходят через него, через один из доступных каналов. Если сервер умер, то анонс 0/0 пропадает и каждый роутер выходит через свой канал. В качестве лабораторной работы, imho, отличная задачка.

где то тут была картинка "Все упоролись" , но всем рисовать в воображении.

Ну а в реальности - а ведь ничего не мешает выставить минимальные тайминги и поднять BGP линк. Keepalive timeout = 3sec Hold time = 9 sec Если у нас в сети только 2 роутера и анонсится один единственный маршрут, то в теории переключение должно укладываться в 10 секунд

О, вот вам совсем отмороженное решение. В интернете ставим сервер с каналом, который по пропускной способности не меньше канала основного аплинка и без лимита по трафику. Поднимаем к нему 2 туннеля - через основной и резервный линк. (с этого места можно начинать смеяться) Поднимаем поверх этого MPLS. Поднимаем поверх этого VPLS канал, поверх канала кладём GRE, на удалённом сервере запускаем BGP, аннонсим 0/0. Если удалённый сервер жив, то все выходят через него, через один из доступных каналов. Если сервер умер, то анонс 0/0 пропадает и каждый роутер выходит через свой канал. В качестве лабораторной работы, imho, отличная задачка.

> но зачем *анекдот про подметание плаца ломом*

А, ну да, при анонсе ещё полисями надо будет set nexthop менять на gateway провайдера основного линка

Как интересно, с bgp ещё не работал. Смотрел в сторону vrrp, но с bgp мне кажется больше подходит схема

народ, помогите с ОСПФ сломалось на ровном месте головной микротик в соседях видит всех 5х соседей, а в LSA от них пусто В OSPFv3 routers тоже пусто Остальные роутеры видят друг друга в 2х разных подсетях (2 и 3) перезапуск инстанса не помогает, ребут тоже

т.е. он соседей ка бы видит, но LSA т них нет, и на других роутерах от него тишина

Как интересно, с bgp ещё не работал. Смотрел в сторону vrrp, но с bgp мне кажется больше подходит схема

Если хочешь примеры работы с заменой nexthop'а - посмотри вот этот проект ( https://antifilter.download/ ) - с ним можно поднять BGP пиринг и получить список сетей из блокировки РКН, есть примеры настроек (вроде на хабре даже были) в том числе и для микротика. Тебе в итоге нужно будет сделать тоже самое, только пир будет твой (на, к примеру, bird'е).

т.е. он соседей ка бы видит, но LSA т них нет, и на других роутерах от него тишина

А что у тебя за сеть на бриджах? С MTU точно нет проблем? Я однажды прошелся по граблям как раз с MTU - анонсы соседей видел, а пакетики с маршрутами не пролезали из-за кривого MTU на интерфейсах.

ща посмотрю

@slndz будет жить. Поприветствуем!

А что у тебя за сеть на бриджах? С MTU точно нет проблем? Я однажды прошелся по граблям как раз с MTU - анонсы соседей видел, а пакетики с маршрутами не пролезали из-за кривого MTU на интерфейсах.

вот точно на грабли МТУ наступил в полный рост а причина в том, что я на эти бриджи подключал ЕОИП интерфейсы и на бридже автоматом упал МТУ даже несмотря на то, что сейчас туннели выключены Спасибо за наводку!

т.е. он соседей ка бы видит, но LSA т них нет, и на других роутерах от него тишина

Судя по эджейсент нейборс, в full соединение не ставится.

Как уже написал - словил грабли с МТУ

Если хочешь примеры работы с заменой nexthop'а - посмотри вот этот проект ( https://antifilter.download/ ) - с ним можно поднять BGP пиринг и получить список сетей из блокировки РКН, есть примеры настроек (вроде на хабре даже были) в том числе и для микротика. Тебе в итоге нужно будет сделать тоже самое, только пир будет твой (на, к примеру, bird'е).

Спасибо. А я думал bgp работает только когда у тебя есть своя AS и договоренность с вышестоящими провайдерами об анонсе.

Между филиалами например 5чек и прочих не оспф, а именно Бгп.

@Vasilchuk будет жить. Поприветствуем!

Message from Николай Васильчук deleted. Reason: new user and forwarded (?)

Знающие, подскажите, почему в Packet Sniffer я пакеты из eth в wlan вижу два раза, а обратные один?

Покажите настройки сниффера

Знающие, подскажите, почему в Packet Sniffer я пакеты из eth в wlan вижу два раза, а обратные один?

Пинги при этом проходят?

А то у меня подозрение, что пинг проходит, а понг режется фаерволом или ещё чем-нибудь

Пинги при этом проходят?

Да

Покажите настройки сниффера

Чуть позже, за рулём сейчас

@Yosuperman будет жить. Поприветствуем!

Здравствуйте Кто-то имел удовольствие настройки lhg 4g kit? У меня на Мегафон, Московская область цепляется во всех трёх бендах: 1) band 3 (1800MHz), 2) band 7 (2600MHz), 3) band 20 (800MHz) Причём не пойму, это одна БС или же разные, но не суть. Правильно ли я понимаю, что, если я заметил, что когда антенна цепляет бенд 20 , скорости вообще никакие, да и уровень сигнала похуже Оставил 3 и 7, хотя в основном на 3 сидит. Как вообще логично выстроить план действий для настройки антенны? Лучше -95 не случалось, речь идёт о RSRP (смотрю его, т.к удобно, что он графиком в мобильном винбоксе) Вот все собрал и даже если вдруг сеть Мегафона люто вечером перегружена, то скорости, кончено совсем не устраивают. А месяц назад ставил на подоконник криво ее и выдавала лютые скорости и примерно такой же уровень сигнала, сейчас то висит по человечески Короче, кто поделится нюансами? Спасибо П.с у микротик так жаль что лте Кат4 модемы. Очень нужна агрегация. С ней вариантов нет для такой дачной лте задачи? Только если плату собирать?

Покажите настройки сниффера

Покажите настройки сниффера

А то у меня подозрение, что пинг проходит, а понг режется фаерволом или ещё чем-нибудь

А вот из влана в влан нормально всё

Доброго времени!

Есть неспящие?

Metal 2shpn 6.45.3 Stable чето не могу найти ntp client в winbox

Metal 2shpn 6.45.3 Stable чето не могу найти ntp client в winbox