Пользователь который запускает винбокс в appdata roam оставляет данные через них можно войти и это косяк

Keep password убрать или мастер пароль

Сейчас конечно уже убрал, но все же...

Все же что?

как по мне норм l2tp+ipsec оч легко поднимается и везде почти есть клиент

Дайте кто нибудь совет, как лучше организовать доступ к микротику

реально ли завернуть vpn трафик в локалку? к примеру есть локальный сервис, при впн подключении он становится доступен по локальному адресу, но при желании обратиться к ресурсу через внешний адрес впн клиент использует "свой интернет" и стучится через интернет в закрытый порт естественно.

Не совсем понятно. Может harpin nat вам поможет. Почитайте

вот мне самому не понтно, подключаюсь к впн с мобилы, 2ip говорит что у меня ip как у vpn сервера домашнего, но только как я к серверу пытаюсь постучать к примеру на 80 порт, сервер видит меня не со своим ip, а с ip мобилки

вот мне самому не понтно, подключаюсь к впн с мобилы, 2ip говорит что у меня ip как у vpn сервера домашнего, но только как я к серверу пытаюсь постучать к примеру на 80 порт, сервер видит меня не со своим ip, а с ip мобилки

Ну логично. Иначе бы внп не работал

Из вне закрыть совсем. Лучше fw. Но ещё до кучи ip service прописать доверенные сети. Из Vpn/локалка разрешить. Контролировать по ip service. Можно добавить ограничение по количеству подключений за период времени с посылкой аларма в лог или по почте. По МАК адресу можете оставить один порт не подключённый физически никуда. Ну и также с алармом. При включении Линка.

Message from Владислав deleted. Reason: new user and external link (?)

@whyskas : в впн профиле у меня выбран днс сервер 192.168.88.1, в днс сервере указан статический адрес типа домен=адрес локальной машины на которой сервис

Всем добрый день, подскажите потянет ли CCR1036-8G-2S+EM В качестве пограничного маршрутизатора на котором будут аггрегироваться 500 Ipec IKE2 туннелей.

ну сделайте после подключения впн nslookup по имени

Доброго! Подскажите против ламерского брутфорса l2tp хватит этого ? И помогите допилить до конца (после третьего коннекта в банлист). В бан лист попадает но так как я понял что соединение не прерывается попытки подбора пароля продолжаются до тех пор пока не будет реконнекта

если соеденение остается, то попробкйте дропать их в raw prerouting . prerouting до коннекшен трекера работает. + снизите нагрузку на проц, если таких запросов много.

Есть где пример или почитать ? я не на столько в этом продвинут

Есть где пример или почитать ? я не на столько в этом продвинут

первое правило не в filter а raw и цепочка preroute

/ip firewall raw add action=drop chain=prerouting dst-port=1701,500,4500 log-prefix="drop RAW" protocol=udp src-address-list=banlist так?

еще нужно log=yes если хотите чтобы в лог писало.

да

Подскажите pptp имеет такой же принцип (M=bad в ответе) хочу сделать еще аналогию для pptp c теми правилами что ранее выложил ? (подключаюсь со смарта через pptp) поэтому сервер pptp в эфире

Content = “authentication failed”

пока не получается

l2tp при неверной авторизации дает ответ M=bad Может быть pptp тоже что-то другое дает не “authentication failed”?

Кстати да. Можете по тому же контенту отслеживать

Я пробовал. Не заносится даже в список для бана. Не могу понять что не так

Protocol gre выберите

/ip firewall raw add action=drop chain=prerouting dst-port=1701,500,4500 log-prefix="drop RAW" protocol=udp src-address-list=banlist так?

Тут порты 500 4500 лишние

Protocol gre выберите

Вот зараза, работать стало )) большое Вам мегаспасибо. На днях буду тестировать сильнее

Благодарю

Ой. Вот не тут. А где контент ловите

/ip firewall raw add action=drop chain=prerouting dst-port=1701,500,4500 log-prefix="drop RAW" protocol=udp src-address-list=banlist так?

add action=drop chain=input comment="Drop l2tp brute forcers" dst-port=1701,500,4500 in-interface=IT log=yes log-prefix="drop drop" protocol=udp src-address-list=banlist add action=accept chain=output connection-state="" content="M=bad" dst-limit=1/1m,2,dst-address/8m20s log-prefix="l2tp bruteforce detected" protocol=udp src-port=1701,500,4500 add action=add-dst-to-address-list address-list=banlist address-list-timeout=3m chain=output content="M=bad" log-prefix="brute l2tp banned" protocol=udp src-port=1701,500,4500

Добрый день! Помогите пожалуйста разобраться со следующим вопросом: есть x86 Mikrotik, в него зашло 2 провайдера, есть своя AS и блок адресов /24. Задача: каналы аплинков одинаковой ширины, хочется правильно настроить балансировку трафика между каналами при поднятом BGP, в случае если один из апликов отваливается - весь трафик идет через активного. Микротик вообще это умеет? И если умеет мне достаточно default или нужно full-view от обоих принять?

вы же понимаете, что входящий трафик балансировать у вас не получится?

стоит выбор между ccr1016 и ccr1036, баюсь что ccr1016 не справится с нагрузкой

сомневаюсь, я поднимал для 100 пользователей с одним провайдером, vpn постоянно отваливалась и нагрузка почти под 100%

Понимаю, мне нужно исходящий балансировать, а при падении одного из каналов, пускать в один.

openvpn, фильтрация трафика будет, резать буду сайты и ограничение скорости

если только squid поднимать, pi-hole плохо справляется с этой задачей

С задачей блокировки на уровне DNS справляется великолепно. Раньше для этих целей блокировал на микротике, но pi-hole оказался удобней. НО это чисто DNS. А для блокировки на уровне HTTP(S) микрот совсем неподходящее место.