А если source 10.8.0.1 указать?

тишана

в системе маршрут есть

тишана

Пинговать ip vpn интерфейса

в системе маршрут есть

Это не то. Покажите результат netstat -rn

Ну и что было?

Вы прописали ироут, как я показал и перезапустили серер и клиент?

знаешь что помогло, я удалил твой iroute и оставил как было до этого )

Спасибо всем большое

знаешь что помогло, я удалил твой iroute и оставил как было до этого )

Не думаю. "мой" взят с рабочей системы с клиентом микртиком.

Не думаю. "мой" взят с рабочей системы с клиентом микртиком.

Но, я ещё добавил в server.conf строку с маршрутом до 192.168.0.0

потому что, вот

потому что, вот

Само собой, это разные таблицы маршрутизации.

Добрый. Плиз подскажите. В файрволле сделал для l2tp сервера защиту от брут форсера. Правила: https://pastebin.com/thU5XfBa Пробую через ipad подключиться - сразу попадает в блеклист, хотя планшет подключен к вифи. Подобные правила сделал для sstp - та же песня. Сразу же клиент попадает в блеклист. Что я намудрил в правилах? Благодарю

Не думаю. "мой" взят с рабочей системы с клиентом микртиком.

Не знаю, но когда указываю как в вашем примере, не работает почему то, в лбьом случае спасибо за подсказку

Добрый. Плиз подскажите. В файрволле сделал для l2tp сервера защиту от брут форсера. Правила: https://pastebin.com/thU5XfBa Пробую через ipad подключиться - сразу попадает в блеклист, хотя планшет подключен к вифи. Подобные правила сделал для sstp - та же песня. Сразу же клиент попадает в блеклист. Что я намудрил в правилах? Благодарю

  l2tp_success где формируется?

  l2tp_success где формируется?

Опс. Плиз, не подскажите, как изменить правила, чтобы все же пускал?

Опс. Плиз, не подскажите, как изменить правила, чтобы все же пускал?

Удалите их все. Оставьте только accept udp 500,4500,1701

Удалите их все. Оставьте только accept udp 500,4500,1701

Нет. Микрот постоянно долбят.

Нет. Микрот постоянно долбят.

https://wiki.mikrotik.com/wiki/Securing_L2TP_Server_for_IPSec

Нет. Микрот постоянно долбят.

Для udp-трафика антибрутфорсы не сильно актуальны

Ибо контрек множество запроса с одного адреса не будет видеть как нью запросы, это удп. Только в случае, если срц-порт меняется.

Если речь конкретно про л2тп, то по стандарту он использует 1701 с обеих сторон

Если речь конкретно про л2тп, то по стандарту он использует 1701 с обеих сторон

У меня больше sstp долбят. Там tcp.

Там прокатит. У самого сстп открыт в качестве резервного туннеля, но всем как-то пофиг. Ни разу не видел попытку подключения.

Там прокатит. У самого сстп открыт в качестве резервного туннеля, но всем как-то пофиг. Ни разу не видел попытку подключения.

Сенк

Коллеги, подскажите вероятность реальности такой проблемы. У меня роутер RB3011UiAS. Тариф у провайдера 500Мбит/сек, стало быть физически порт должен быть на 1Гбит. Провайдер говорит, как только я подключаю свой микротик к их свитчу, так у свитча выгорает часть линий и он ставится 100Мбит, т.е. работает по четырём проводам, вместо 8. У меня по умолчанию WAN заведен на порт Eth1, который умеет питаться по этому порту, но выдавать же ничего на него не должен (в отличии от Eth10). Ранее я писал, что как только подключаю провайдера к роутеру, то роутер у меня тухнет, не выдерживает питание. Поставил более мощный блок питания, всё заработало. Но похоже я таким образом "победил" свитч провайдерас ) Может у меня роутер какой раненый изначально?

Звучит футуристично. Микротик – убийца свитчей :)

Могу конечно WAN сконфигурировать на Eth2, но как-то перфекционизм протестует этому )

Могу конечно WAN сконфигурировать на Eth2, но как-то перфекционизм протестует этому )

В сфп воткните s-rj01 и заведите туда

Звучит футуристично. Микротик – убийца свитчей :)

провайдер уже жалуется, что у них в подвале на свитче кончаются свободные порты для экспериментов )

В сфп воткните s-rj01 и заведите туда

но по блок-схеме я же тогда второй свитч оставляю на внтури на 1Гбите, вместо 2Гбит

А это критично?

Я эти диаграммы наизусть знаю практически все :)

А это критично?

пока у меня на втором свитче медленные клиенты, то не особо критично, но как-то это не правильно подстраиваться под дешёвые д-линковские свитчи прова )

Я эти диаграммы наизусть знаю практически все :)

неужто тогда я первый с такой электрической проблемой? )

неужто тогда я первый с такой электрической проблемой? )

Нет, не один. Если 951G воткнуть первым портом в af/at - роутер тоже тухнет. Заведите провайдера в eth2 - разницы никакой по логике.

Нет, не один. Если 951G воткнуть первым портом в af/at - роутер тоже тухнет. Заведите провайдера в eth2 - разницы никакой по логике.

со слабым блоком питания у меня действительно вырубал роутер провайдером только первый порт, остальные порты нормально работали. К сожалению видимо всё же придётся перебрасывать

Всем привет. Чтобы защититься от митм в сети. Как правильно конфигурировать дшсп и арп, чтобы ничего не прослушали ?

Только шифрованием всего трафика, иначе нет гарантий

Только шифрованием всего трафика, иначе нет гарантий

Подскажи как это сделать ?

ipsec

ipsec

Всю локальную сеть гонять по ipsec ?

Всю локальную сеть гонять по ipsec ?

MitM же в локальной сети возможен? Можно настроить зеркалирование вашего порта на коммутаторе и сохранять ваш трафик. В таком случае никакие варианты с static arp не помогут, только шифрование. Либо врезаться в разрыв кабеля между вами и коммутатор\маршрутизатором. Опять же, только шифрование. Так что, сначало определитесь с возможными векторами атаки, а потом решайте как лучше реализовывать

ну а так есть ip-mac binding на различных коммутаторов и другой функционал

Приветствую. есть роутер LtAP mini с симкой, к нему подключена ип камера которая в свою очередь подключаеться через LTE к серверу регистратору, через другой микротик. все работает отлично, можно смотреть лайв видео и картинка не прерываеться. но есть задача, которая подразумевает настройку L2. то есть был поднят между микротиками SSTP+EoIP. так вот если трафик пускать уже через туннель, то видеопоток начинает обрываться. то есть лайв картинка преодически пропадает. я смотрел нагрузку на CPU, но не замечал более 20% загрузки. можно попробовать отлючить шифрование, но это не лучшее решение. Есть мысли изачего появляются тормоза?

Приветствую. есть роутер LtAP mini с симкой, к нему подключена ип камера которая в свою очередь подключаеться через LTE к серверу регистратору, через другой микротик. все работает отлично, можно смотреть лайв видео и картинка не прерываеться. но есть задача, которая подразумевает настройку L2. то есть был поднят между микротиками SSTP+EoIP. так вот если трафик пускать уже через туннель, то видеопоток начинает обрываться. то есть лайв картинка преодически пропадает. я смотрел нагрузку на CPU, но не замечал более 20% загрузки. можно попробовать отлючить шифрование, но это не лучшее решение. Есть мысли изачего появляются тормоза?

Sstp самый тяжелый для микротика, я бы рекомендовал перейти на l2tp/ipsec или чистый ipsec, и уменьшить качество видео.

Sstp самый тяжелый для микротика, я бы рекомендовал перейти на l2tp/ipsec или чистый ipsec, и уменьшить качество видео.

качество видео уже оптимизировали. без туннеля все отлично работает. заметил, что на EoIP MTU дефолтный был. Поставил 1500. так же попробую в качестве экспериметна pptp вместо sstp.

качество видео уже оптимизировали. без туннеля все отлично работает. заметил, что на EoIP MTU дефолтный был. Поставил 1500. так же попробую в качестве экспериметна pptp вместо sstp.

Попробуйте лучше l2tp/ipsec

Попробуйте лучше l2tp/ipsec

принял к сведению. спасибо.

Подскажите пожалуйста что значит такой лог? wlan1: 00:0A:01:05:4D:8A not in local ACL, by default accept

Добрый вечер! Кто-то пробовал строить вложенные интерфейс листы с include all на первом уровне? Почему-то если использовать сам лист в котором include all, то трафик по нужным интерфейсам захватывает, а если использовать второй лист который включает первый, то уже никакого трафика нет, все-ровно что он пустой...

Подскажите пожалуйста что значит такой лог? wlan1: 00:0A:01:05:4D:8A not in local ACL, by default accept

Это значит, что клиент попытался провериться по правилам в аксесслисте, не нашел там для себя подходящего правила и на нем применилось разрешение по умолчанию, которое разрешает аутентификацию

Добрый вечер! Кто-то пробовал строить вложенные интерфейс листы с include all на первом уровне? Почему-то если использовать сам лист в котором include all, то трафик по нужным интерфейсам захватывает, а если использовать второй лист который включает первый, то уже никакого трафика нет, все-ровно что он пустой...

Такое ощущение что динамический список all не передаётся на второй уровень вложенности

Подскажите пожалуйста что значит такой лог? wlan1: 00:0A:01:05:4D:8A not in local ACL, by default accept

К вам подключается этот мак. Его ищут в ацл, не находят, применяют дефолтное действие (Default authenticate)

Добрый вечер! Кто-то пробовал строить вложенные интерфейс листы с include all на первом уровне? Почему-то если использовать сам лист в котором include all, то трафик по нужным интерфейсам захватывает, а если использовать второй лист который включает первый, то уже никакого трафика нет, все-ровно что он пустой...

Делал include all, exclude <list>, работало ок

К вам подключается этот мак. Его ищут в ацл, не находят, применяют дефолтное действие (Default authenticate)

Это мой смартфон, а это правильно?

Это мой смартфон, а это правильно?

А вы хотите, чтобы ваш смартфон подключался?

А вы хотите, чтобы ваш смартфон подключался?

Так он подключается, просто этот лог мне не нравится)) может есть правило?

Так он подключается, просто этот лог мне не нравится)) может есть правило?

Можно отключить логирование вайфай. Но можно прост оне переживать. )

Можно отключить логирование вайфай. Но можно прост оне переживать. )

То есть это нормально. А то думал может лог мне на что то намекает))

То есть это нормально. А то думал может лог мне на что то намекает))

Это нормально. )

Это нормально. )

А подскажите где можно почитать что такое ACL?

То есть это нормально. А то думал может лог мне на что то намекает))

Лог не намекает. Лог всегда говорит прямо.

А подскажите где можно почитать что такое ACL?

ACL = access control list. В вашем случае это wireless access list

Лог не намекает. Лог всегда говорит прямо.

лог на меня даже давит))

А подскажите где можно почитать что такое ACL?

Это аксесс лист.

ACL = access control list. В вашем случае это wireless access list

Спасибо

Делал include all, exclude <list>, работало ок

Так и у меня работает, это простой случай. А меня перфекционизм заставляет занунуть этот лист внутрь другого и вот тут то уже не работает

Сейчас попробую зайти с другой стороны - сделать список исключения с двойной вложенностью... и не спрашивайте зачем))

Так и у меня работает, это простой случай. А меня перфекционизм заставляет занунуть этот лист внутрь другого и вот тут то уже не работает

А зачем вам ещё какой-то список, у которого внутри только all? Чем его не хватает? Вот хоть один сценарий, кроме "врага запутать" назовите

А, перечитал, вы про двойную вложенность. Ну это тоже про "врага запутать"

List1: список интерфейсов исключений List2: исключения List1, включает все List3: включает List2 и включает один интерфейс, который уже в List1

Для того что бы в одних правилах использовать list2, а в других всё то же что и в лист 2, но +1 интерфейс ранее из него исключённый... пока писал задачу, кажется понял как переделать оптимальней

Создам копию List2 в которой будет два списка исключений и во второй список перенесу нужный интерфейс из первого списка исключений

Выйдет что в List2 он не будет исключён, а в новом листе уже будет исключён по второму списку исключений

И зачем? :) типа цпу и так курит, пусть ищет совпадение по ацль?

Ну вы почитайте вики, там же написано всё. Прям wireless открывайте и читайте интересующие пункты. А лучше – всё подряд и несколько раз.