но не передал!

Заметил в фаерволле по-умолчанию, добавили untracked, а для чего? chain=input action=accept connection-state=established,related,untracked

Заметил в фаерволле по-умолчанию, добавили untracked, а для чего? chain=input action=accept connection-state=established,related,untracked

это я тоже помню, а вот зачем его пропускать снаружи? для ipsec?

Насколько я помню из курса, это соединение, которое не относится ни к одному из типов

untracked - packet which was set to bypass connection tracking in firewall RAW tables.

Это invalid

я правильно понял из написанного что это только для FastTrack и можно выкинуть?

перечитал, это типа пакеты вылетевшее из RAW-таблиц фаерволла с "флагом" notrack, верно?

то есть в обычной ситуации (офис) ненужно, и можно не ставить

Граждане может кто подскажит какой командой можно увеличить количество символов в терминале по ширине? а то не все влазит иногда в выводе

купить монитор побольше ))

https://wiki.mikrotik.com/wiki/Manual:Console_login_process#Console_login_options

Он и так приходит с метрикой 110. Просто когда отвалится основной канал л2тп от 3011 переподключится через вАП - а мне этого надо избежать

110 это ад , внутренняя метрика протокола это отдельный параметр.

И у меня только 2 вопроса: 1. Как отфильтровать дефолт на CHR 2. Как запретить подключение л2тп от 3011 к CHR через вАП при отвале основного канала

1. add chain=ospf-out prefix=0.0.0.0/0 action=discard 2. Роут до л2тп статикой

1. add chain=ospf-out prefix=0.0.0.0/0 action=discard 2. Роут до л2тп статикой

добавил на ЦХР фильтр оспф-ин 0.0.0.0/0 - вроде всё нормально

Тепер тут нет ни одного дефолта из оспф. Так и надо?

по л2тп со статическим маршрутом у меня только одна идея добавитт 1 маршрут до 5.6.7.8 через шлюз основного канала добавить второй маршрут до 5.6.7.8 в блэкхол с болшьшей метрикой, но меньшей дефолта из оспф Так сработает?

А если и то и то совпало?

да ничего подобного

To participate in route selection process, route has to meet following criteria: • route is not disabled. • distance is not 255. Routes that are rejected by route filter have distance value of 255. • pref-src is either not set or is a valid local address of the router. • routing-mark is either not set or is referred by firewall or policy routing rules. • If type of route is unicast and it is not a connected route, it must have at least one reachable nexthop.

Мы же про оспф да ?

Мы же про оспф да ?

Но оспф тоже добавит при одинаковых условиях в один маршрут все. ecmp

А предлогалось одному дефолтe искусственно метрику оспф поднять.

Сработает

В вашем случае можно проще сделать. /interface vlan add interface=ether-to-ats name=vlan214-iptel vlan-id=214 add interface=ether-to-isp name=vlan1104-sip vlan-id=1104 /interface bridge add name=bridgeATS /interface bridge port add bridge=bridgeATS interface=vlan214-iptel add bridge=bridgeATS interface=vlan1104-sip Остальное уберите. И в след раз на pastebin конф

Извиняюсь, но возвращаясь к утрешнему разговору, не заработала почему-то такая схема :(

еще аопрос - если мне нужно проверить на 3011 дефолт на предмет доступа непосредственно в интернет, то лучше сделать рекурсивный маршрут вместо чек-гейтвей? по опыту предыдущих отвалов провайдера шлюз был доступен

https://pastebin.com/jHsZup3q

А ether4 в бридже что делает?

А ether4 в бридже что делает?

не исправил после эксперимента, уже убрал, но все по прежнему

с роутера вижу 2 сети

с роутера вижу 2 сети

Может я не так что-то понимаю, но АТС стоит же за роутером. Роутер единственная точка, где контактирует сип провайдера и внутренняя атс

Может я не так что-то понимаю, но АТС стоит же за роутером. Роутер единственная точка, где контактирует сип провайдера и внутренняя атс

если сегмент один, то почему тогда 2 сети не могу контактировать ? Оо

Рекурсия поможет исключить случай когда интернет пропадает за шлюзом

Вы же сами говорили что сеть одна. Поэтому один адрес у провайдера второй адрес на АТС

Возможно мы не так поняли друг друга. Я и на схеме отображать пытался как мог