выставил, но через эти правила не было пакетов.

ну значит не верно настроили ) потому и тормоза. Глянь слайды с Индонезийской презентации, там как раз сайт-ту-сайт

ну значит не верно настроили ) потому и тормоза. Глянь слайды с Индонезийской презентации, там как раз сайт-ту-сайт

Я по ним и делал, правда там есть некоторые не точности, или я их так воспринял.

Ребят, я тут настроил site-to-site по инструкции @tarikin вроде все завелось, но с утра пользователь удаленного офиса начал жаловаться на медленную скорость. Проверил интернет идет через основной офис и дико медленно, вернул все в преждний режим. Вопрос как пустить трафик не через офис? Ну и почему тормоза?

а вообще раз-раз-продакшн детектед. Я очень настойчиво прошу сначала в лабе.

Я по ним и делал, правда там есть некоторые не точности, или я их так воспринял.

покажи пальцем на неточности

а вообще раз-раз-продакшн детектед. Я очень настойчиво прошу сначала в лабе.

))) Я на домашнем потренировался, но там site-to-client

Схему нарисуйте.

Спасибо сам разобрался. Проблема все таки в правилах Нат была

покажи пальцем на неточности

я очень люблю все делать точно, особенно презентации, которые потом посмотрит весь мир 🙂

я очень люблю все делать точно, особенно презентации, которые потом посмотрит весь мир 🙂

Вот тут то что в Winbox и в консоли не соответствует

Вот тут то что в Winbox и в консоли не соответствует

Ох да, верно

Вот тут то что в Winbox и в консоли не соответствует

У сервера сорс 88, дст 199

Ох да, верно

Щас еще найду, там я дольше разбирался где не точности и не мог понять как правильно сделать.

У сервера сорс 88, дст 199

Да еще там не темплейт

У сервера сорс 88, дст 199

Никита, а как заставить офис ходить в интернет через своего провайдера?

Никита, а как заставить офис ходить в интернет через своего провайдера?

Убрать полиси от лан до 0.0.0.0/0

Никита, а как заставить офис ходить в интернет через своего провайдера?

Тебе она явно прилетает через модконф автоматом

Тебе она явно прилетает через модконф автоматом

Отключи получение модконф на клиенте или настрой модкофн на сервере, тут смотря как у тебя задумано

Всем добрый день, кто сталкивался с Билайном. Получаем интернет от него и еще от отдного провайдера. Сегодня перестали половина сайтов открываться https если переключаю на резервный канал, то все нормально. Думаю что-то с mtu Как доказать Билайну что дело у них?

Проверил с рабочего места ping 1.1.1.1 -f -l 1472 Все пингует, но как перехожу на Билайн все https не открывает. Два других провайдера нормально работают Как можно им доказать что это с их стороны проблемы

Проверил с рабочего места ping 1.1.1.1 -f -l 1472 Все пингует, но как перехожу на Билайн все https не открывает. Два других провайдера нормально работают Как можно им доказать что это с их стороны проблемы

Попробуйте ноутбук подключить напрямую и проверить для начала. Если не будет работать то вызывайте инженера. Пусть проверяют

Проверил с рабочего места ping 1.1.1.1 -f -l 1472 Все пингует, но как перехожу на Билайн все https не открывает. Два других провайдера нормально работают Как можно им доказать что это с их стороны проблемы

у меня есть L3VPN от БилайнБизнес. я как то создал заявку в ТП, неделю там херней страдали, потом позвонил инженер и сказал - а уменьшите мту с 1500 до меньше чем 1470, т.к. у нас 1470.

и всё "волшебным образом" заработало как надо

Да мы тоже утром проснулись а https из офиса не работает (( Хорошо есть резерв, переключили вернее просто повысил метрику и все все летает

Коллеги, есть 2011, на ether1 интернет. На Ether2-10 висит 9 подсетей, 192.168.20-100/24 (Ether2 - 192.168.20.0/24, Ether3 - 192.168.30.0/24 и т.д.) Интернет у всех работает. Задача - заблокировать возможность сетям видеть друг друга. Тупое решение - нарисовать в цепочке forward 9×8=72 запрещающих правила. Вопрос: может быть есть более изящное решение, чтобы CPU меньше нагружать?

Коллеги, есть 2011, на ether1 интернет. На Ether2-10 висит 9 подсетей, 192.168.20-100/24 (Ether2 - 192.168.20.0/24, Ether3 - 192.168.30.0/24 и т.д.) Интернет у всех работает. Задача - заблокировать возможность сетям видеть друг друга. Тупое решение - нарисовать в цепочке forward 9×8=72 запрещающих правила. Вопрос: может быть есть более изящное решение, чтобы CPU меньше нагружать?

Ну конечно. Добавить все сети в один лист. И одно правило запретить форвард с срц лист на дст лист.

Срц лист = дст лист ?

Срц лист = дст лист ?

Один и тот же указать где все сети перечислены

Либо интерфейсы в интерфейс лист и тоже самое. Только указать ин/аут интерфейс лист а не срц/дст лист. Но тут нужно packet flow diagram посмотреть.

Коллеги подскажите а что изменилось с ключами для chr у меня есть 3 ключа а регистрировать их дла chr не хочет в ЛК

Либо интерфейсы в интерфейс лист и тоже самое. Только указать ин/аут интерфейс лист а не срц/дст лист. Но тут нужно packet flow diagram посмотреть.

Сообразил, спасибо!

Либо интерфейсы в интерфейс лист и тоже самое. Только указать ин/аут интерфейс лист а не срц/дст лист. Но тут нужно packet flow diagram посмотреть.

А какой из вариантов меньше нагрузит проц?

А какой из вариантов меньше нагрузит проц?

Правило одно. Думаю плюс/минус одинаково

Правило одно. Думаю плюс/минус одинаково

Спасибо.

Либо интерфейсы в интерфейс лист и тоже самое. Только указать ин/аут интерфейс лист а не срц/дст лист. Но тут нужно packet flow diagram посмотреть.

а если их запихать в один бридж и нарисовать одинаковый horizon?

я так понял там нужен тупо port-isolate

а если их запихать в один бридж и нарисовать одинаковый horizon?

Сплит горизон сработает только на л2 уровне

Сплит горизон сработает только на л2 уровне

ну так там каждая подсеть висит на своем интерфейсе. разделим L2 - подсети тоже не будут друг друга видеть, разве нет?

ну так там каждая подсеть висит на своем интерфейсе. разделим L2 - подсети тоже не будут друг друга видеть, разве нет?

Шлюзы сетей будут на бридже. И пакет на втором уровне будет от бриджа в порт уходить. Броадекст с одной сети на другие не будет идти. Но с бриджа во все порты идти будет

я так понял там нужен тупо port-isolate

Это тоже, работает на л2 , а у человека роутинг.

Это тоже, работает на л2 , а у человека роутинг.

роутинг роутингом, но если роутинг решает, что трафик пришел из ether2 и должен пойти в ether3, а л2 говорит, что там port-isolation, то работать-то не будет.

Это ему огород городить пока не нужный.

роутинг роутингом, но если роутинг решает, что трафик пришел из ether2 и должен пойти в ether3, а л2 говорит, что там port-isolation, то работать-то не будет.

Почитайте пожалуйста

Коллеги, есть 2011, на ether1 интернет. На Ether2-10 висит 9 подсетей, 192.168.20-100/24 (Ether2 - 192.168.20.0/24, Ether3 - 192.168.30.0/24 и т.д.) Интернет у всех работает. Задача - заблокировать возможность сетям видеть друг друга. Тупое решение - нарисовать в цепочке forward 9×8=72 запрещающих правила. Вопрос: может быть есть более изящное решение, чтобы CPU меньше нагружать?

Очень изящное решение - общая политика дроп на форварде.

А какой из вариантов меньше нагрузит проц?

С интерфейс-листами

Добрый. Плиз подскажите. Микрот, белый ip, светит pptp, sstp, l2tp сервером. Стоит волноваться?

Пионеры шалят.... волноваться стоит всегда

Добрый. Плиз подскажите. Микрот, белый ip, светит pptp, sstp, l2tp сервером. Стоит волноваться?

Я бы РРТР вообще не светил и для L2TP юзал IPSec

Добрый. Плиз подскажите. Микрот, белый ip, светит pptp, sstp, l2tp сервером. Стоит волноваться?

Говорят есть скрипты,которые отправляют в бан ip с которых неверно авторизовались

Говорят есть скрипты,которые отправляют в бан ip с которых неверно авторизовались

Брут форс. Делал через правила. Не взлетело у меня. Да, отлавливало четко. Но и меня тоже в бан посылало. Суть: пробую с ipad по 2ltp соединиться. Он скорее всего несколько раз обращается за авторизацией к серверу. Я делал 5 ступеней, так мой планшет эти ступени за пару секунд пролетают и в бан. С микрот-микрот по sstp та же песня.

Брут форс. Делал через правила. Не взлетело у меня. Да, отлавливало четко. Но и меня тоже в бан посылало. Суть: пробую с ipad по 2ltp соединиться. Он скорее всего несколько раз обращается за авторизацией к серверу. Я делал 5 ступеней, так мой планшет эти ступени за пару секунд пролетают и в бан. С микрот-микрот по sstp та же песня.

Почитайте. Обсуждалось. Там далее примеры и для pptp/l2tp. Достаточно надежный подход. https://t.me/mikrotikclub/133532

Подскажите плиз... Какие условия должны соблюстись, для того чтобы подключаться в THE DUDE через tools => terminal ? на некоторые тики захожу через агентов, а на некоторые нет. Ругается на несовместимые версии дуд сервера %)

Версия клиента и сервера должна совпадать

Агента или прям сервера дуда?

А если агентов используете то темболле, если версия агента не совпадает с сервером , функционал агента не работает, это прямым текстом на вики написано.

Ну и по факту это так, я если Дуде, обновляю то и все роутеры агенты, благо через Дуде это можно делать, массово и автоматизировано.

Пасибки. Да. Помогло. Пришло время обновляться(( Но в моём случае даунгрейд проще сделать 😃

Всем привет, есть два микротика связанные через l2tp, маршруты настроены, пинги ходят из одной сети в другую, настраивал не я, маршруты прописаны целиком для удаленных подсетей, с удаленной сети пинг до одного хоста в локальную идёт до другого нет, там много чего настроено в файрволе, конкретно ограничений на интересующий меня адрес не нашел, но к примеру на x.x.1.5 пинг есть на x.x.1.100 нет, при этом из локального 1.100 пингуется, может быть есть способ отловить каким правилом блокируется, существующие блокирующие правила на локальном роутере пробовал отключать, не помогло

Всем привет, есть два микротика связанные через l2tp, маршруты настроены, пинги ходят из одной сети в другую, настраивал не я, маршруты прописаны целиком для удаленных подсетей, с удаленной сети пинг до одного хоста в локальную идёт до другого нет, там много чего настроено в файрволе, конкретно ограничений на интересующий меня адрес не нашел, но к примеру на x.x.1.5 пинг есть на x.x.1.100 нет, при этом из локального 1.100 пингуется, может быть есть способ отловить каким правилом блокируется, существующие блокирующие правила на локальном роутере пробовал отключать, не помогло

Начните с трасеровки с двух сторон

Всем привет, есть два микротика связанные через l2tp, маршруты настроены, пинги ходят из одной сети в другую, настраивал не я, маршруты прописаны целиком для удаленных подсетей, с удаленной сети пинг до одного хоста в локальную идёт до другого нет, там много чего настроено в файрволе, конкретно ограничений на интересующий меня адрес не нашел, но к примеру на x.x.1.5 пинг есть на x.x.1.100 нет, при этом из локального 1.100 пингуется, может быть есть способ отловить каким правилом блокируется, существующие блокирующие правила на локальном роутере пробовал отключать, не помогло

А у этих хостов шлюзом точно микротик?

А у этих хостов шлюзом точно микротик?

Да

Начните с трасеровки с двух сторон

Ок

Да

Может ещё родной брандмауэр винды блочить

Может ещё родной брандмауэр винды блочить

Думал на него, с локалки пинг есть, доменная сеть, удаленные компы тоже в домене

Правило включено

Коллеги, у кого есть большой опыт RB1100ahx4? Опять безпричинно ребутается, аптайм не доходит выше 45 дней

Правило включено

локал адреса VPN-ов совпадают с адресацией локальных сетей за тиками?

если да - заделай маскарад интерфейсов впн) пусть хосты "думают" что их пингуют локально)

Думал на него, с локалки пинг есть, доменная сеть, удаленные компы тоже в домене

мне кажется брандмауЭЙЭру побарабану на то, что компы в домене.

Касперский, спасибо)

мне кажется брандмауЭЙЭру побарабану на то, что компы в домене.

Точно, ему под фиг, также как и касперу

Коллеги, у кого есть большой опыт RB1100ahx4? Опять безпричинно ребутается, аптайм не доходит выше 45 дней

У меня повисал просто. Какая версия РОС?

loading kernel... OK setting up elf image... OK jumping to kernel code Starting... failed to open /dev/flash: No such file or directory Starting services... Demo license expired! Please reinstall the router.

пришел такой роутер

у него flash битый ?

У меня повисал просто. Какая версия РОС?

6.44.5, на версии ниже была та же бага

или как?

Netinstall пробуй

пробовал

ни в какую

RouterBOOT booter 6.44.4 RouterBOARD M33G CPU frequency: 880 MHz Memory size: 256 MiB Storage size: 16 MiB Boot configuration CRC error, applying defaults writing settings to flash.. Press any key within 2 seconds to enter setup.. writing settings to flash..trying bootp protocol............... failed kernel loading failed m33 boot from CS1 loading kernel... OK setting up elf image... OK jumping to kernel code Starting... failed to open /dev/flash: No such file or directory Starting services... Demo license expired! Please reinstall the router.

локал адреса VPN-ов совпадают с адресацией локальных сетей за тиками?

Да, оказывается каспер, спасибо

6.44.5, на версии ниже была та же бага

Установи частоту ниже, мне помогло