Товарищи, вопрос, вероятно суперпрост, но тем не менее! я настраиваю GRE туннели от одного роутера с провайдером 1 до другого роутера с провайдерами 2 и 3. итого два туннеля - 1-2 и 1-3 в опциях указал одинаковый MTU и Keepalive 3sec, 2ret. внимание вопрос - с одной стороны интерфейсы туннелей поднялись. с другой -нет. что я упустил?

Подскажите из-за чего такие странные адреса назначаются: 0.0.0.232 ?

0.0.0.0/8  Диапазон описан в RFC1122 , RFC3330 и RFC1700 как "Этот хост в этой сети" (this host on this network), хотя, учитывая варианты применения, правильнее было бы назвать его как "любой адрес". В частности, IP-адрес 0.0.0.0 используется для: - обозначения в конфигурационных файлах серверов и выводе netstat информации о том, что определенный сервис "слушает" запросы на всех IP-адресах данного сервера; - конфигурации маршрута по умолчанию на активном сетевом оборудовании; - использования в качестве src address в запросах на получение IP-адреса (DHCPDISCOVER); - обозначения IP-адреса в суммаризованных событиях безопасности IDS/IPS/WAF/etc (например, TCP Host Sweep - обозначение dst host в случае инициации коннектов к большому количеству IP-адресов).

0.0.0.0/8  Диапазон описан в RFC1122 , RFC3330 и RFC1700 как "Этот хост в этой сети" (this host on this network), хотя, учитывая варианты применения, правильнее было бы назвать его как "любой адрес". В частности, IP-адрес 0.0.0.0 используется для: - обозначения в конфигурационных файлах серверов и выводе netstat информации о том, что определенный сервис "слушает" запросы на всех IP-адресах данного сервера; - конфигурации маршрута по умолчанию на активном сетевом оборудовании; - использования в качестве src address в запросах на получение IP-адреса (DHCPDISCOVER); - обозначения IP-адреса в суммаризованных событиях безопасности IDS/IPS/WAF/etc (например, TCP Host Sweep - обозначение dst host в случае инициации коннектов к большому количеству IP-адресов).

Это значит он в бриже

Коллеги, приветствую! Помогите новичку! Есть несколько офисов, один головной с внутренней подсетью 192.168.100.х/24. Есть удаленный офис (один из...) с подсетью 192.168.101.х/24 тоже с микротиком, который через L2TP/IPsec подключается к головному микротику. Чтобы компьютеры из удаленной подсети 192.168.101.x могли общаться с компьютерами в главной подсети 192.168.100.x мне пришлось вручную добавить правило, выделенное стрелкой на скриншоте. Но оно отваливается (становится красным) после ребута удаленного роутера. То есть удаленный роутер ребутится, потом подключается по L2TP, но это правило, созданное вручную, уже почему то не работает. Как сделать, чтобы работало?

Сделать бинд интерфейса.

как?

interface-l2tp Server Binding

но наверное на gre tunnel с ipsec лучше это заменить? как считаете?

у меня еще одна задача - к микротику в удаленном офисе подключаются мобильные клиенты по l2tp/ipsec, как сделать, чтобы они увидели компьютеры в подсети головного офиса? микротик удаленного офиса подключается к микротику в центральном офисе через GRE туннель с IPsec

Разные прошивки например. Там где не работает работает решите гре явно выше инвалидов

зашел к клиенту винбоксом а Files НЕТУ :-0

Коллеги, подскажите пожалуйста Схема такая: микротик 3011, за ним FreePBX 14й, подключающийся к Манго транками На микротике ничего для телефонии не настраивал, стоит ли что-то там делать для повышения качества связи или поскольку "из коробки" всё работает, то лучше не трогать?

Здравствуйте, помогите, чегото подтормаживаю. Между виланами запрещено все. выше разрешающее правило создаю для порта 3389 и ничего не работает, НО если для всей подсети указываю в src address все работает. Как для определенных ИП написать правило?

action=accept chain=forward dst-address-list=1 src-address-list=2 port=3389 protocol=tcp и такоеже наоборот адрес листы

а направления порта есть?

action=accept chain=forward dst-address-list=1 src-address-list=2 port=3389 protocol=tcp и такоеже наоборот адрес листы

А dst nat не срабатывает часом?

попонятнее для уставших

Покажите оба правила фильтра и правила ната.

я спрашиваю как должно быть, я мож бредовые правила создал

Может и бредовые. Вы же задачу не озвучили.

action=accept chain=forward dst-address-list=1 src-address-list=2 port=3389 protocol=tcp и такоеже наоборот адрес листы

такоеже только поменяны листы адресов местами в адреслистах по одному ип адресу, думал может так прокатит - не прокатило

@Bansardo /ip firewall add action=accept chain=forward comment="Related Established Allow" connection-state=established,related,untracked /ip firewall add action=accept chain=forward dst-address=PC1 src-address=PC2 dst-port=3389 protocol=tcp /ip firewall add action=accept chain=forward dst-address=PC2 src-address=PC1 dst-port=3389 protocol=tcp

А адреса совпадают? Какие в листе и какие у хостов?

Во втором srcport?

Во втором srcport?

Нет.

Значит в третьем

Тоже нет. )

Почему нет то? Pc1:any-pc2:3389 туда Pc2:3389-pc1:any обратно. Так?

Почему нет то? Pc1:any-pc2:3389 туда Pc2:3389-pc1:any обратно. Так?

Нет же. ) Во втором и третьем правиле дст и срс АДРЕСА меняются, т.к. по условию не понятно кто их них сервер. А за обратные пакеты отвечает первое правило. Все просто.

я не пойму почему для диапазона канает правило для всей подсети /24 а если просто ип пк указать - не работает

/ip firewall add action=accept chain=forward dst-address=192.168.10.5 src-address=192.168.20.35 dst-port=3389 protocol=tcp так не работает, но если поставить полностью /24 тогда все работает

/ip firewall add action=accept chain=forward dst-address=192.168.10.5 src-address=192.168.20.35 dst-port=3389 protocol=tcp так не работает, но если поставить полностью /24 тогда все работает

/ip firewall add action=accept chain=forward dst-address=192.168.10.5 src-address=192.168.20.35 dst-port=3389 protocol=tcp так не работает, но если поставить полностью /24 тогда все работает

Вы тут src с dst перепутали

да, эт как пример был

Дабавить выше /ip firewall add action=accept chain=forward comment="Related Established Allow" connection-state=established,related,untracked

то есть Ваша логика такова, что после ассепта идет запрет форварда на весь этот диапазон и соответственно ничего не работает?

Коллеги. Вопрос. В днс кеше на микротике сайт mikrotik.com ссылается на 127.0.0.1 это нормально? Я хотел обновить прошивку в связи с уязвимостью сброса паролей. Вот теперь думаю не ломанули ли мой микрот?

Нет не ломанули или нет не нормально )