У меня опасения касательно корректности формирования LSDB для Backbone, если в backbone всего 1 роутер по сути

я так делал когда-то :) и ядро у меня было на dlink, который был на статике

Понял. Спасибо за инфу.

Понял. Спасибо за инфу.

но всех подроюностей я уже не помню, и у меня было два концентратора сразу на разных операторах

Коллеги, насколько корректной будет конфигурация OSPF, если CCR в главном офисе сделать ABR-ом (VPN роутер на схеме ниже), при этом его LAN-интерфейс будет смотреть в backbone (подключен к Core на схеме), где будет статическая маршрутизация (пока без OSPF, будет в будущем), а все VPN-туннели вынести в отдельную Area, в которой уже сейчас будет OSPF? Хотим начать внедрять OSPF с VPN-ов, а сеть центра пока не трогать. Поделить на две зоны хотим с целью, чтобы на ABR суммаризовать все VPN подсети и в будущем сотни машрутов не прилетали на все роутеры в backbone.

У меня более сложная схема с двумя VPN концентраторами (к каждому филиалу идет два туннеля) - от разных провайдеров. И я вынес каждый филиал в отдельную зону. Тут все зависит от количества филиалов - если их будет достаточно много - на ABR сильно раздуется LSDB за счет LSA-3. В итоге, с каждым новым филиалом обновлять базу микроту сложнее. Начали появляться ситуации, когда при массовом поднятии соседства состояние соседа находится в вечном 2WAY-exchange и не переходит в FULL. Вывод для себя делаю один - стык с филиалами отключить от OSPF и поднять там BGP.

У меня более сложная схема с двумя VPN концентраторами (к каждому филиалу идет два туннеля) - от разных провайдеров. И я вынес каждый филиал в отдельную зону. Тут все зависит от количества филиалов - если их будет достаточно много - на ABR сильно раздуется LSDB за счет LSA-3. В итоге, с каждым новым филиалом обновлять базу микроту сложнее. Начали появляться ситуации, когда при массовом поднятии соседства состояние соседа находится в вечном 2WAY-exchange и не переходит в FULL. Вывод для себя делаю один - стык с филиалами отключить от OSPF и поднять там BGP.

а много это сколько?

а много это сколько?

Сейчас 12. Всего будет больше 40. Большинство сидит еще на чистом IPSEC (policy-based).

в LSDB ~1100 записей

Сейчас 12. Всего будет больше 40. Большинство сидит еще на чистом IPSEC (policy-based).

у меня было больше 50-ти и все работало... сейчас насколько я знаю уже счет к 70-ми и схему глобально никто не менял

у меня было больше 50-ти и все работало... сейчас насколько я знаю уже счет к 70-ми и схему глобально никто не менял

Аналогично.

у меня было больше 50-ти и все работало... сейчас насколько я знаю уже счет к 70-ми и схему глобально никто не менял

Так же каждый филиал в отдельной зоне?

нет, зачем это надо

нет, зачем это надо

Если в одну зону, то начинаются проблемы в случае падения одного из туннелей

у меня никаких проблем не было

У меня порядка 30 филиалов в одной зоне. Проблем с обновлением нет.

ошибка выжевшиго

У меня порядка 30 филиалов в одной зоне. Проблем с обновлением нет.

Я не про обновления. Рисовать надо...

ошибка - это в случае 12-ти филиалов не разобравшись в изначальной проблеме, городить кучу зон и переходить на BGP, но ...

нет тут тут ошибки , а как раз закладка на разширение и маштабируемость

ошибка - это в случае 12-ти филиалов не разобравшись в изначальной проблеме, городить кучу зон и переходить на BGP, но ...

Я еще не перехожу. Наблюдаю пока... Но в пятницу ребутал один из VPN - при одновлеменним поднятии сессий были веченые 2way-exchange

чтоб потом не пришлось все переделывать

При добавлении n-го филиала на каждом LSA добавляется n-1 LSA3

так потому что зон нафигачили зачем-то, вот вам и LSA3

Вначале была одна.

для филиалов

Но была такая проблема:

можно вместо зон редистрибутить коннектет сети , будут lsa5 летать

У меня сейчас 100 с небольшим филиалов, к каждому 2 туннеля. Я больше переживаю за втооые тунннли, которые везде через 3g. Оно периодически отваливается, пакеты теряет. Возможно ospf будет частенько базу пересчитывать. Но тут надо пробовать

Т.е. если у FIL-1 рвалась связь с VPN-2, то трафик в FIL-1 шел не через VPN-1, а через другие филиалы. При этом включалась по пакетная балансировка - а это полный треш...

Есть и другая проблема - микротик не умеет фильтровать сети на ABR.

У меня сейчас 100 с небольшим филиалов, к каждому 2 туннеля. Я больше переживаю за втооые тунннли, которые везде через 3g. Оно периодически отваливается, пакеты теряет. Возможно ospf будет частенько базу пересчитывать. Но тут надо пробовать

3g можно держать как резерв с увеличенным костом и с немного увеличенным keepalive для туннеля. ложноположительных отвалов и пересчетов будет меньше.

В целом, если в филиале не больше одного роутера - OSPF там не нужен...

3g можно держать как резерв с увеличенным костом и с немного увеличенным keepalive для туннеля. ложноположительных отвалов и пересчетов будет меньше.

Ну косты понятно, что больше на них, и это и есть резерв. А про keep alive да, спасибо.

В целом, если в филиале не больше одного роутера - OSPF там не нужен...

Да, это понятно. Просто двигаемся в сторону того, чтобы собирать туннели где-то еще и строить обходные пути. Пока что все в одном офисе собирается.

Вобщем, я для себя решил посмотреть как будут они себя вести при большем количестве филиалов... Если будут проблемы - решение с BGP уже готово

господа можете помоч, настроено два одновременно работающих провайдера, но вот почему никакие тоннели РРР не ходят? хотя eoip. ipip работают

> Warning: If device has a directory named "flash" in its file list, then files which you want to be kept after system reboot/power cycle must be stored within it. As anything outside of it is kept within a RAM disk and will be lost upon reboot. Note: this does not include .npk upgrade files as they will be applied by upgrade process before system discards the RAM drive content.

Большое спасибо!

Но была такая проблема:

Подскажите, каким инструментом сделана эта схема?

GNS3

Иконки оттуда реально достать? Dude не хватает нормальных иконок)

господа можете помоч, настроено два одновременно работающих провайдера, но вот почему никакие тоннели РРР не ходят? хотя eoip. ipip работают

Показывайте конфигурацию.

Показывайте конфигурацию.

можно в лс?

можно в лс?

Да.

Иконки оттуда реально достать? Dude не хватает нормальных иконок)

Хз. не задавался этим вопросом. Иконки то откуда угодно подергать можно. Хоть из того же Visio.

Пипл... Вот такая хрень вылазит на селектеле, при попытке накатить рось

ктоньть накатывал последнее время рось на селектел?

Иконки оттуда реально достать? Dude не хватает нормальных иконок)

https://github.com/GNS3/gns3-registry/tree/master/symbols

https://github.com/GNS3/gns3-registry/tree/master/symbols

🙏

есть еще пачка микротиковских для Dude

🙏

Благодарю!

Коллеги, добрый день. Подскажите пожалуйста, что включить ра роутере, чтобы пропустил ipsec ikev1. Клиен и сервер - Циска. По средине Микротик.

filter add chain=forward action=accept ipsec-policy=in,ipsec comment="defconf: accept in ipsec policy" filter add chain=forward action=accept ipsec-policy=out,ipsec comment="defconf: accept out ipsec policy"

и не делать этому трафику fast-track, имхо

и не делать этому трафику fast-track, имхо

с фасттреком не заработает, или возможны проблемы в дальнейшем?

по мануалу - вроде как для транзитного трафика, могут быть проблемы в default-conf эти правила стоят выше fast-track

Спасибо. попробую

Приветствую. Подскажите, как сделать сортировку в выводе по полю address? \ip dhcp-server leases pr

Mikrotik hap lite перезагружается каждые 10 секунд, wifi не раздает и по lan не выходит подключиться В чём может быть проблема?

Всем привет. Кто знает - Russia4 - это какие диапазоны? В 6.46.1 добавили.

Mikrotik hap lite перезагружается каждые 10 секунд, wifi не раздает и по lan не выходит подключиться В чём может быть проблема?

БП замени

Пытаюсь включить dhcp клиент, ошибка. Куда копать?

Пытаюсь включить dhcp клиент, ошибка. Куда копать?

Интерфей в бридже, включать надо на бридже либо вытащить езер с бриджа

А можно на определённый порт включить dhcp?

А можно на определённый порт включить dhcp?

если он не входит в bridge

Всем привет! Сталкивался ли кто с проблемой iptv микрот + ростелеком?

Спасибо

Суть проблемы: раньше было 2 помещения соединенных через впн. В помещение 1 приходил ростелеком и через впн во втором помещении работала их приставка. (Разумеется предварительно настроив igmp proxy и фаервол. Сейчас в помещение 1 зашел новый провайдер...тоже ростелеком, все то же самое, но договор на другое физ.лицо переоформили и на новый договор дали новую иптв приставку. Собственно она и не работает во втором помещении...проверяет обновления с окном ростелеком, все ок, а на следующем экране (загрузка wink) - пару минут думает и выдает ошибку «невозможно получить настройки от балансировщика»

Wtf ?))) Собственно в фаере уже все правила повыключал

Безрезультатно :(

у нас в городе рт иптв идет через отдельный влан. и приставку пускал через отдельный влан до порта приставки от вана. без прокирования мультикаста

Если в одну зону, то начинаются проблемы в случае падения одного из туннелей

Аналогично, 13 филиалов по 2 туннеля с OSPF, проблем нет даже при отвале одного из провов, всё переключается моментально при перестроении маршрутов.

Кто там интересовался ipsec ike2 eap-radius? Мне таки удалось связать микротик с freeradius и авторизовать iOS клиента через eap-radius Заходит публичный сертификат от LetsEncrypt и других доверенных издеталей. Кому интересно - в личку

это значит, что не обязательно клиентам впаривать корневые и клиентские сертификаты, вполне можно запустить сервер на публичном доверенном сертификате вроде LetsEncrypt и авторизовать всех полноценно на радиусе по логину-паролю. Сразу скажу, что микротиковский UserManager с eap не работает, потому пришлось запускать на фрирадиусе. Кстати, виндовый NPS тоже будет работаь.

это значит, что не обязательно клиентам впаривать корневые и клиентские сертификаты, вполне можно запустить сервер на публичном доверенном сертификате вроде LetsEncrypt и авторизовать всех полноценно на радиусе по логину-паролю. Сразу скажу, что микротиковский UserManager с eap не работает, потому пришлось запускать на фрирадиусе. Кстати, виндовый NPS тоже будет работаь.

Подтверждаю, с виндовым NPS работает. Для домена очень удобно получается. Но у меня заработало только с user-сертификатами, machine почему-то цепляться не хотят

в инете куча мануалов на эту тему.

это значит, что не обязательно клиентам впаривать корневые и клиентские сертификаты, вполне можно запустить сервер на публичном доверенном сертификате вроде LetsEncrypt и авторизовать всех полноценно на радиусе по логину-паролю. Сразу скажу, что микротиковский UserManager с eap не работает, потому пришлось запускать на фрирадиусе. Кстати, виндовый NPS тоже будет работаь.

Это крутая новость, спасибо! С Android это тоже будет работать? Можно ожидать публичный мануал или очередную презентацию на этот счёт?)

Это крутая новость, спасибо! С Android это тоже будет работать? Можно ожидать публичный мануал или очередную презентацию на этот счёт?)

Сейчас проверяю где это работает

попробуй временно отключить файрволл полностью для поиска проблемы