там же написано. резолвишь сервер обновления микротика на нужный себе адрес, он дергает оттуда кастом считая его отличной новой прошивкой, где нет места уязвимостям.

он у вас САМ АВТОМАТИЧЕСКИ дергает новые прошивки?

На tropical канале

я не местный. тропикал это где?

я не местный. тропикал это где?

https://t.me/tropicalengineer/373

спасибо. Никита, я смотрел вашу презентацию на MUM/ вы там создали бридж и повесили на него айпи. а потом по ходу презентации он никак не использвался. Преполагалось чтоб впн клиент мог пинговать этот айпи?

он у вас САМ АВТОМАТИЧЕСКИ дергает новые прошивки?

а, нет конечно :) но людей, которые "я человек простой - вижу новую прошивку - обновляю", определенно больше нуля можно найти.

спасибо. Никита, я смотрел вашу презентацию на MUM/ вы там создали бридж и повесили на него айпи. а потом по ходу презентации он никак не использвался. Преполагалось чтоб впн клиент мог пинговать этот айпи?

Да, на нем еще ipip/gre работал.

он у вас САМ АВТОМАТИЧЕСКИ дергает новые прошивки?

Атакующий будет ждать пока жертва нажмет download&install

спасибо. Никита, я смотрел вашу презентацию на MUM/ вы там создали бридж и повесили на него айпи. а потом по ходу презентации он никак не использвался. Преполагалось чтоб впн клиент мог пинговать этот айпи?

+днс для roadwarrior

+днс для roadwarrior

точно! про роад забыл. спасибо!

А как работает "кроме" в микротике? Вот например в одном правиле два "кроме" и они работают как кроме 1 ИЛИ 2 или же 1 И 2? То есть должно выполняться только одно кроме или сразу два?

А как работает "кроме" в микротике? Вот например в одном правиле два "кроме" и они работают как кроме 1 ИЛИ 2 или же 1 И 2? То есть должно выполняться только одно кроме или сразу два?

правило работает при выполнении всех условий, которые оно описывает. в вашей логике это И

навеорное было плохо понятно что я имел в виду, но благодарю за ответ

То есть, если я сделаю так и в action поставлю drop, то у меня будут проходить только соединения из адресного пространства 192.168.0.0/24 по протоколу icmp и больше ничего?

это значит, что под действие правила попадет трафик со всех сурсов кроме этой /24 по всем протоколам кроме icmp. а уж что будет происходить с ним - зависит от action. вот именно тут - да, дропаться будет все, что не из этой сети и не icmp.

предельно понятно, благодарю

Граждане, а в Минске кто кроме нетлаб и нетэйр торгует по безналу микротиками?

Немогу понять ситуацию: 2 провайдера, настроил и проверил уже все до мелочей. При переключении на второго провайдера наблюдаются проблемы с открытием некоторых сайтов. Закономерность до конца не установлена. Пинги, ресолв при этом ходят нормально. Куда копать?

я бы посмотрел нет ли залипших сессий в connection tracking

Как этого избежать при переключении.

Переключая для тестов тупо disable на маршрут.

например, сбрасывать соединения скриптом.

Подскажите пж скрипт

Хотя если это равноценно удалению сессия из коннектион - не помогло

Самое странное (для меня) - когда подключаешься по vpn (l2tp) к этому микротику, часть сайтов не отражается.

скрипт не подскажу 🤷‍♂️

Немогу понять ситуацию: 2 провайдера, настроил и проверил уже все до мелочей. При переключении на второго провайдера наблюдаются проблемы с открытием некоторых сайтов. Закономерность до конца не установлена. Пинги, ресолв при этом ходят нормально. Куда копать?

Всегда через одного из провайдеров проблема?

ну тут уже маршруты могут играть роль. прямые и обратные.

Всегда через одного из провайдеров проблема?

Наблюдается только на одном, причем разные сайты

Наблюдается только на одном, причем разные сайты

Ну либо mtu, либо у провайдера проблемы со связанностью

Даже если изначально пускать пускать внутренние сети (2 штуки) на разных.

Наблюдается только на одном, причем разные сайты

Я чую что с мту у этого заказчика придется собаку съесть. Как вычислить и понять что проблеммы именно с мту?

а сайты крупные? может anycast виной?

Даагис и фламп (враз), спустя некоторое время спидтест

Это то что обнаружили - я хочу корень зла найти.

а сайты крупные? может anycast виной?

Виной отсуствие моего опыта.

Я чую что с мту у этого заказчика придется собаку съесть. Как вычислить и понять что проблеммы именно с мту?

Гугол находит https://www.google.com/url?sa=t&source=web&rct=j&url=https://mum.mikrotik.com/presentations/RU18M/presentation_5659_1538438877.pdf&ved=2ahUKEwiQy8WPn8TlAhUSShUIHXp2BEYQFjAFegQICBAC&usg=AOvVaw1hqZ1qpM7ZaFv_a8quD8Yu

Даже если изначально пускать пускать внутренние сети (2 штуки) на разных.

ага, тогда connection tracker не причина. выходит, задачу можно свести к тому, что на одном провайдере не открываются некоторые сайты?

И эти сайты меняются.

а как это выглядит? крутится бублик в браузере? или выдаёт ошибку, что сайта нет? можеть быть что ответ от сайта приходит на другой интерфейс, и маршрутизатор его отбрасывает?

Какие типы подключений к инету у каждого провайдера ?

статика + DHCP

а как это выглядит? крутится бублик в браузере? или выдаёт ошибку, что сайта нет? можеть быть что ответ от сайта приходит на другой интерфейс, и маршрутизатор его отбрасывает?

Как буд-то сайта нет

8ка ходит чере WAN3, 0 - через WAN1

Копайте в сторону днс

пингуется, говорит

0 сеть маркируется как net7

Пингуется и ресовится

У вас CRS в качестве роутера стоит?

он самый

он самый

Может он в процессор упирается? Это больше свитч, нежели чем роутер. Я бы рекомендовал не мучать свитч. Возьмите дешевенький hex хотябы

как это проверить?

как это проверить?

и как у вас сети разделены? они обе на одном бридже висят? во вланах?

просто на одном бридже

условие заказчика

как это проверить?

tool - profile

просто на одном бридже

во вланах я надеюсь?

нет, просто

Я бы порекомендовал вам изменить дизайн сети. Между свитчем и провайдерами поставить роутер.

это как

все провайдеры в роутер идут

смущает что шлюзы у двух подключений одинаковые, но не понимаю технически как это влияет, при условии что весь траффик маркируется и под него выбирается маршрут

Всем привет. В Route List имеется запись: AC dst address: 0.0.0.0/0 gateway: 142.123.123.123 reachable ether1 Если ее отрубить то ничено не работает. Эта запись вообще что позволяет делать в сети ?

все пакеты отправлять в провайдера, дефолтный маршрут

все провайдеры в роутер идут

CRS - это больше свитч, у него слабый проц, но хороший свитч-чип, он не любит роутить. Все сети у вас в одном броадкаст домене, это плохой дизайн. Особенно весело если включить несколько DHCP серверов.

в качестве рекомендации передам заказчику. Мне важнее для себя понять причину происходящего. Замена свича - это больше танцы с бубнами

Привет всем. Настроены туннели IPIP между внешними адресами разношёрстных Микротиков (настоящий зоопарк), схема – звезда, в центре RB4011. Между внешними же адресами настроен IPsec с обменом по IKEv2 и селектором по ip-encap. Время от времени некоторые из концов отваливаются (перестаёт ходить трафик по IPIP), пока не сбросишь SA, IPsec переустанавливается и снова работает. Причём отваливаются одни и те же концы, другие работают мегастабильно. Мб кто навскидку подскажет, куда копать? Если нет, детальную инфу смогу закинуть завтра. Пока что каждые 12 часов SA сбрасываются скриптом на центральном RB4011, понятно, что это костыль.

Зачем закрывать октеты адреса если видно сеть? И почему у вас на 2х портах адреса с одной подсети? И получены они по дхцп. Мне кажется это петля

провайдер дал такие подключения

заказчик хочет пустить в одну дырку только данные, в другую голос.

Петля мне кажется будет в том случае, если они буду в бридже

Тесть у вас два подключения к одному прову?

Зачем закрывать октеты адреса если видно сеть? И почему у вас на 2х портах адреса с одной подсети? И получены они по дхцп. Мне кажется это петля

насчет октетов торможу жестко уже

Тесть у вас два подключения к одному прову?

да

Из разряда бреда. Когда галки нет - идет дальше обработка или останавливается?

Из разряда бреда. Когда галки нет - идет дальше обработка или останавливается?

если галки нет - дальше не идет.