Подскажите пожалуйста, почему не получается опубликовать порт через ipsec туннель? Два роутера соеденены ipsec туннелем site2site, на одном роутере(назовем его сервером) есть внешний статический ip-адрес. Прописываю правило: add action=dst-nat chain=dstnat comment="camera" dst-port=554 log=yes protocol=tcp to-addresses=10.10.10.252 to-ports=554 - счетчики тикают, но такое впечатление, до адресата не доходит.

Подскажите пожалуйста, почему не получается опубликовать порт через ipsec туннель? Два роутера соеденены ipsec туннелем site2site, на одном роутере(назовем его сервером) есть внешний статический ip-адрес. Прописываю правило: add action=dst-nat chain=dstnat comment="camera" dst-port=554 log=yes protocol=tcp to-addresses=10.10.10.252 to-ports=554 - счетчики тикают, но такое впечатление, до адресата не доходит.

что в тунель пихаешь?

Не понял вопроса. У меня политики статические между сайтами: 192.168.0.0/24 ->10.10.10.0/24 - устройства из обоих сетей видят прекрасно друг друга.

Тогда src nat ещё нужно. И нужно по PW посмотреть порядок когда IPSec отрабатывает и наты.

Тогда src nat ещё нужно. И нужно по PW посмотреть порядок когда IPSec отрабатывает и наты.

если нет то хваит ната

подскажите как, не складывается пока картинка в голове. на клиенте который в конце туннеля там src-nat accept 10.10.10/24->192.168.0.0/24 и наоборот на сервере.

День добрый, есть Hex S, PoE порт перестал отдавать питание, сам Hex S запитывался как через PoE так и через адаптер, в Hex S вставлялись как 48в устройства которые раньше работали, так mikrotik wap которому вроде 12 достаточно. Сам 5 порт работает. Есть ли опыт у кого ремонта?

Если принудительно poe на 5 порту включить? Тестером проверить?

А как можно по-другому? Там только forced on

Тестера честно говоря нет

На язык проверить не буду советовать

я где-то встречал, что микротик генерирует статическую роут запись до ppp адреса через тот гейт, через который она соединялась

На сервере нужно два ната (src и dst) Что бы новый пакет попал под действие политики

dst я правильно вроде бы нарисовал, а вот с src подскажите пожалуйста.

dst я правильно вроде бы нарисовал, а вот с src подскажите пожалуйста.

подскажите как, не складывается пока картинка в голове. на клиенте который в конце туннеля там src-nat accept 10.10.10/24->192.168.0.0/24 и наоборот на сервере.

dst я правильно вроде бы нарисовал, а вот с src подскажите пожалуйста.

Геморройщики с s2s. Транспорт пошифровали – а дальше роутами. Зачем все эти лишние наты? И что будете делать с ipv6? :)

Геморройщики с s2s. Транспорт пошифровали – а дальше роутами. Зачем все эти лишние наты? И что будете делать с ipv6? :)

Спортсмены 🙂

Геморройщики с s2s. Транспорт пошифровали – а дальше роутами. Зачем все эти лишние наты? И что будете делать с ipv6? :)

и я думаю в правило нужно добавить: tcp-mss=!0-1360

я как раз на этом и остановлю свой доклад

А так =!1360 нельзя?

А так =!1360 нельзя?

Нет. Он будет искать совпадение именно 1360. А задача – искать всё, что больше чем 1360. Поэтому либо !0-1360, либо 1361-65535

Добавить одно правило нужно. /ip firewall nat add chain=srcnat src-address=0.0.0.0/0 \ dst-address=внешнийайпи protocol=tcp dst-port=портнакоторыйподклбчаешься \ action=src-nat to-address=192.168.0.1

192.168.0.1 это внутренний локальный адрес роутера - правильно понимаю? что-то не срабатывает правило.

add action=dst-nat chain=dstnat comment="registrator" dst-port=48887 log=yes protocol=tcp to-addresses=10.1.63.253 to-ports=80 add action=src-nat chain=srcnat dst-address=1.1.1.1 dst-port=48887 protocol=tcp src-address=0.0.0.0/0 to-addresses=192.168.0.252

add action=dst-nat chain=dstnat comment="registrator" dst-port=48887 log=yes protocol=tcp to-addresses=10.1.63.253 to-ports=80 add action=src-nat chain=srcnat dst-address=1.1.1.1 dst-port=48887 protocol=tcp src-address=0.0.0.0/0 to-addresses=192.168.0.252

А правила тикают? Firewall не фильтрует?

dst - тикает, а src нет. Я правильно понимаю, что эти оба правила я прописываю на первом роутере, где есть внешний адрес?

dst - тикает, а src нет. Я правильно понимаю, что эти оба правила я прописываю на первом роутере, где есть внешний адрес?

Добрый день! Знаю что тема избита и не раз обсуждалась, но вот может кто подскажет в такой проблеме про двух провайдеров как правильно маркировать трафик? Если кто даст ссылку буду блогадарен. Задача такая: имеется два офиса связанных через ВПН, к первому офису пришел второй провайдер. Необходимо со второго офиса получать доступ к OneDrive (Microsoft) через первой офис, второго провайдера.

Давайте по порядку. Как вы определяете что трафик к one drive?

add address=13.107.136.0/22 list=onedrive add address=40.108.128.0/17 list=onedrive add address=52.104.0.0/14 list=onedrive add address=104.146.128.0/17 list=onedrive add address=150.171.40.0/22 list=onedrive

Пропишите маршруты до этих сетей на втором роутере через впн. А на первом через второго провайдера.

Немного уперся в проблему со вторым провайдером. Посмотрел решения в интернете. Все решают по разному. Как правильно отмаркирвоать трафик второго провайдера. add action=mark-connection chain=prerouting connection-state=new in-interface=ether5 new-connection-mark=ISP2-mc passthrough=yes add action=mark-routing chain=prerouting connection-mark=ISP2-mc new-routing-mark=ISP2-mr passthrough=no Этого будет достаточно или необходимо forward и output маркировать?

Зачем вам красить трафик?

Сейчас речь идет про первый офис, второго провайдера. Два 0.0.0.0/0 не могут сущестовать в одной таблице . Я сначала маркирую трафик от каждого провайдера, а дальше планирую в роуте разрулить досуп к данным ресурсам.

вам уже сказали, что достаточно маршрутов в сторону one-drive через второго оператора на маршрутизаторе в офис №1

правила сорс-нат срабатывают после фильтров, убедись, что на forward фильтрах есть пакеты

Проверь целостность еще через /system packages

прописал в форварде и поставил в самый вверх из 192.168.0.0/24 в 10.1.63.0/24 и обратно - счетчики тикают, устройства из сетей отлично друг с другом общаются.

Разрешите весь форвард. Для теста

так, странно, из локалки я попал на свой же внешний адрес по этому порту на регистратор! 😱

ну обычно так и можно.

так вроде бы это hairpin nat называется, у меня только на один ресурс это было настроено, чтобы ссылочка открывалась и снаружи и снутри. Сейчас все поотключал в NAT, а все равно работает.

add action=dst-nat chain=dstnat comment="registrator" dst-port=48887 log=yes protocol=tcp to-addresses=10.1.63.253 to-ports=80 add action=src-nat chain=srcnat dst-address=1.1.1.1 dst-port=48887 protocol=tcp src-address=0.0.0.0/0 to-addresses=192.168.0.252

и не тикнет, ты уже dst-nat-ом заменил назначение add action=src-nat chain=srcnat dst-address=10.1.63.253 dst-port=80 protocol=tcp src-address=0.0.0.0/0 to-addresses=192.168.0.252

https://www.mikrotik-trainings.com/trainings_files/docs/MikroTik_PacketFlow_Routing24.jpg

Так вроде Input и Output интерфейсы - это одни и те же интерфейсы, а не раздельные, как например в звуковой аппаратуре, где есть разделение на входящий сигнал и на исходящий

Всем привет, как правильно интерпретировать эту строку, это мак, который прилетает от провайдера или это мак, который присваивает микротик на этот интерфейс?

Это уже полностью на усмотрение роутера. Могут в разные прокинуть, может и в этот же повернуть

Всем привет, как правильно интерпретировать эту строку, это мак, который прилетает от провайдера или это мак, который присваивает микротик на этот интерфейс?

Access Concentrator MAC Address

Скорее всего Мак от провайдера. Мак адрес от микротика можно увидеть на самом ethernet-интерфейсе, куда воткнут кабель провайдера

у меня он одинаковый на трёх разных маршрутизаторах, на всех трех поднимается pppoe соединение, и на всех трех есть проблема при одновременном поднятии соединения