@whyskas Воспользоваться нужно этой инструкцией https://wiki.mikrotik.com/wiki/Setting_static_DNS_record_for_each_DHCP_lease

спасибо, поковыряю сейчас

Вы бы схему сети и настройки бриджа, если есть, озвучили. Возможно там микротик вообще ни при чем.

ссылку на пастебин бот не лопает, хотел полный конфиг показать

Объясните как такое может быть? Почему правило на input тикает. При запросах к YouTube?

Вот кстате правила /ip firewall filter add action=drop chain=forward comment=DenyYoutube layer7-protocol=Youtube src-address=172.20.0.10 tcp-flags="" add action=drop chain=input comment=DenyYoutube layer7-protocol=Youtube src-address=172.20.0.10

Попробуте глянуть, возможно на инпут rst прилетает.

Объясните как такое может быть? Почему правило на input тикает. При запросах к YouTube?

Wire shark человек вряд ли запустит. Мне просто интересно как так вообще может быть? Прокси говорят нет

@moneron Raul @insoln

Не надо вайршарк. можно перед правилом дропа вставить что-то типа: add action=passthrough chain=input src-address=172.20.0.10 log=yes protocol=tcp tcp-flags=rst

а?

Или это правило в log. Ага. Попробуем

я с мобилы. что за правило, откуда запросы?

А что в логах пишет, после того как у этого правила поставил log=yes ?

Из локальной сети в адрес YouTube. На шлюзе тикают правила input по L7 /ip firewall layer7-protocol add name=Youtube regexp="^.+(youtube).*\$"

днс небось

Из локальной сети в адрес YouTube. На шлюзе тикают правила input по L7 /ip firewall layer7-protocol add name=Youtube regexp="^.+(youtube).*\$"

Всем добрый день, подскажите что подразумевают под ipsec vpn. IpsecoverGRE или ipsecL2TP знаю.... А ipsec VPN??? Есть ли функция создания сервера IpsecVPN на микротике?

Всем добрый день, подскажите что подразумевают под ipsec vpn. IpsecoverGRE или ipsecL2TP знаю.... А ipsec VPN??? Есть ли функция создания сервера IpsecVPN на микротике?

Туннель можно построить и на чистом ipsec. Как его сделать, очень подробно рассказал Никита Тарикин на последнем MUM в Москве.

Добрый день, коллеги, прошивал кто Микротик OpenWRT?

если уж так хочется, то купите на али аппартный клон hap ac lite tc с uboot и влейте wrt

Нужно тут поменять на ^.+(youtube.com).*$

это что за зверь такой? поделись плиз ссылкой на али

Подскажите пожалуйста, я что-то не понимаю: 1) в какой pvid нужно пихать транковый порт, если я хочу, чтобы по этому порту летали только тегированные кадры. 2) pvid бриджа ставить лучше от управления? (настраиваю crs326 через bridge vlan filtering)

Я бы включил admit-only-vlan-tagged и не менял PVID на бридже.

а это не сломает акссес-порты?

Нет. Оно ингресс фильтрует. Хотя не очень понятно чего Вы хотите добиться таким запретом. Пусть себе нэтив живет.

настраиваю схему - "роутер на палочке" - из 4011 выходит кучка вланов с тегами по транковому порту sfp и входит в crs326 - где должны разбежаться по ассес портам и пролететь дальше до других свитчей. Один из вланов - влан управления всеми железками в сети, он тегом на бридже и висит на нем в виде интерфейса, на нем адрес. Но остался этот vlan=1 - он у меня вообще нигде не используется, зачем ему жить? Пока он прописан на бридже и транковых портах.

Пусть себе и живет. ) Просто не пихайте в него ничего. на аксессных портах пропишете нужный Вам пвид и все.

Да, аксессные порты я расписал, у них свой pvid отличный от 1. выходит если включить admit-only-vlan-tagged то динамическая запись вообще пропадет? она мне что-то глаза мозолит ))

По идее не пропадет. Она пропадет, если вы на всех транковых портах онли таггед включите.

зачем?

Добрый день, коллеги, прошивал кто Микротик OpenWRT?

Объясните как такое может быть? Почему правило на input тикает. При запросах к YouTube?

Из локальной сети в адрес YouTube. На шлюзе тикают правила input по L7 /ip firewall layer7-protocol add name=Youtube regexp="^.+(youtube).*\$"

Салют всем! Если выключить фасттрэк, то ребут роутера нужен?

Откуда эта привычка, перезагружать всё после каждого чиха?

Коннекты удалить достаточно

Добрый день господа. Прошу стукнуть меня правильной ссылкой на мануал по настройке eoip тоннеля, так как гугление в интернетах кроме поверхностной инфы ничего не дает. Ситуация следующая Есть два микротика, оба с реальными ip адресами. Если запустить bandwidth тест на реальных айпи адресах, то скорость показывает в районе 50-60 мегабит в сек (это более чем достаточно) Но, стоит повесить eoip тоннели между двумя станциями, и повесить на каждом устройстве виртуальную подсеть из разряда 192.168.25.0/24 то bandwidth внутри этого тоннеля показывает не более чем 5 мегабит Я пытаюсь понять где я сделал не так, и главное понять общую теорию как это должно работать, но почему то в русских интернетах полно материала с картинками как настроить что бы работало, но нет теории Фаерволы выключены, квот нет

а чего за микротики? ipsec используется в туннелях?

Никаких дополнительных телодвижений для ipsec я не делал 1 - SXT 6 2 - RB433AH

Никаких дополнительных телодвижений для ipsec я не делал 1 - SXT 6 2 - RB433AH

Конструктивное предложение :)

Вы измеряете скорость с самих микротиков?

Да

Да

Добрый день господа. Прошу стукнуть меня правильной ссылкой на мануал по настройке eoip тоннеля, так как гугление в интернетах кроме поверхностной инфы ничего не дает. Ситуация следующая Есть два микротика, оба с реальными ip адресами. Если запустить bandwidth тест на реальных айпи адресах, то скорость показывает в районе 50-60 мегабит в сек (это более чем достаточно) Но, стоит повесить eoip тоннели между двумя станциями, и повесить на каждом устройстве виртуальную подсеть из разряда 192.168.25.0/24 то bandwidth внутри этого тоннеля показывает не более чем 5 мегабит Я пытаюсь понять где я сделал не так, и главное понять общую теорию как это должно работать, но почему то в русских интернетах полно материала с картинками как настроить что бы работало, но нет теории Фаерволы выключены, квот нет

Установите на интерфейсах реальное mtu тогда все взлетит как надо но потери все равно будут порядка 20%

а какие-то теоретические обоснования цифры в 20% последуют? или это эмпирическим путем цифра получена? мне бы тоже было крайне интересно узнать, почему одна дополнительная инкапсуляция так просаживает быстродействие :)

С адреса до адреса с флагом дф пустите пинг 1500 пройдет?

Я правильно понимаю что в пинге я в advanced - packet size ставлю 1500 и пингую? Если да, то пинги прошли с обеих сторон

Исправился, но все равно пинги идут