Wan - sfp

Так оно и есть, интерфейс wan приходящий, ip в address list руками

на чём висит айпишник? поди, на VLAN?

Да

Да

вот его и указывай в качестве входящего интерфейса

Вариант)

Вариант)

это не вариант, а правильная настройка ))

это не вариант, а правильная настройка ))

Согласен

Ещё вопрос... Connection state?

Где написано, что нужно делать new

Где вообще никаких не ставить галок

Ещё вопрос... Connection state?

я бы резал без указания стейта... просто если пришёл запрос извне на 53 порт - в срц-лист

Именно на инпут

А на форвард, есть смысл ставить?

Если внутри за натом 1500 хостов?

А на форвард, есть смысл ставить?

имеет смысл резать форвард извне в локалку

имеет смысл резать форвард извне в локалку

?

Вон сколько уже фаервол отбил

Скиньте пожалуйста пример правила

Скиньте пожалуйста пример правила

/ip firewall filter add action=drop chain=forward comment="" connection-nat-state=!dstnat in-interface-list=WAN out-interface-list=LAN

Ок. Попробую применить к своему fw

Можете более конкретно сформулировать вопрос? Dns, прописан руками в одноименной вкладке и назначается принудительно.

я к тому, что нет никакого смысла делать проверку на несуществующий сервис, нужно дропать все за исключением установленных соединений и ds-nat как и написал Bomberman

По поводу брута ssh на 22 и winbox на 8291...

На wiki mikrotika, есть пример правил для этой ситуации.

управление не должно торчать наружу, или делайте белые списки на доступ к управлению или ВПН

управление не должно торчать наружу, или делайте белые списки на доступ к управлению или ВПН

Можно и порты поменять и т.д.

Я к чему....

Первое правило там drop все что приходит на порт 22 или 8291.

Потом идут stage 1..2..3.

С срц-листами

пару лет назад такие правила не спасли тысячи маршрутизаторов от взлома, сделайте по белым спискам или ВПН и будете спать относительно спокойно

С срц-листами

Так вот...) Потом accept. Если по логике firewall правила применяются с верху вниз, то зачем нужно дропать сразу пакет на dst?

И дальше их засовывать в stage и срц лист с таймаутом

Если они дропаются, то получается фаерволл смотрит на состояние соединения или на марк пакета?

add chain=input protocol=tcp dst-port=22 src-address-list=ssh_blacklist action=drop \ comment="drop ssh brute forcers" disabled=no add chain=input protocol=tcp dst-port=22 connection-state=new \ src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist \ address-list-timeout=10d comment="" disabled=no add chain=input protocol=tcp dst-port=22 connection-state=new \ src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 \ address-list-timeout=1m comment="" disabled=no add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 \ action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m comment="" disabled=no add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list \ address-list=ssh_stage1 address-list-timeout=1m comment="" disabled=no

Народ, подскажите как к компьютера постучаться по портам? (3-4 порта последовательно) Желательно через командную строку

Ок. Попробую применить к своему fw

Используйте стандартный firewall он для многих подойдёт. Добавить интерфейс листы своими интерфейсами только. https://t.me/mikrotikclub/143660

Народ, подскажите как к компьютера постучаться по портам? (3-4 порта последовательно) Желательно через командную строку

Google в помощь. Вот один из результатов выдачи https://github.com/sebastienwarin/Knock

Google в помощь. Вот один из результатов выдачи https://github.com/sebastienwarin/Knock

Очевидно, что любой вопрос можно в гугле найти, а если нет то гуглить на инглише По сути этот чат и не нужен, ибо 90 процентов материала можно найти где? Правильно, в гугле Я же, когда задаю вопрос, ожидаю услышать решения best practices, которые люди применяют и радуются жизни

Очевидно, что любой вопрос можно в гугле найти, а если нет то гуглить на инглише По сути этот чат и не нужен, ибо 90 процентов материала можно найти где? Правильно, в гугле Я же, когда задаю вопрос, ожидаю услышать решения best practices, которые люди применяют и радуются жизни

Не совсем понял что вы хотите сказать. Я вам привёл ссылку на программу удовлетворяющую вашему запросу. По поводу того что найти можно все это верно. Важно ещё понимание каких то деталей. Вот тут пожалуйста задавайте вопросы и коллеги кто сталкивался с этим всегда помогут. Я уверен.

Не совсем понял что вы хотите сказать. Я вам привёл ссылку на программу удовлетворяющую вашему запросу. По поводу того что найти можно все это верно. Важно ещё понимание каких то деталей. Вот тут пожалуйста задавайте вопросы и коллеги кто сталкивался с этим всегда помогут. Я уверен.

Спасибо, попробую

объясните, пожалуйста: почему MikroTik RB1100AHx4 продаётся и как роутер и как коммутатор?

у многих роутеров есть функция коммутирования, отчего тут разночтения?

объясните, пожалуйста: почему MikroTik RB1100AHx4 продаётся и как роутер и как коммутатор?

где? https://mikrotik.com/products/group/switches

просто тупят при выкладывании товара?

нашли где смотреть! ))

ну хоть не на ответах.мейл.ру

😅

не, до мэйла не докачусь))

😅

смотрите на официальном сайте, там всегда правдивая и самая свежая информация и есть блоксхемы, брошуры и результаты тестов

объясните, пожалуйста: почему MikroTik RB1100AHx4 продаётся и как роутер и как коммутатор?

А CCR - неплохие L3 свитчи. )

Дык 12 портов и 36 ядер... целых 3 ядра на 1 порт!

есть у кого готовая функция (например на PHP) для конвертирования строки на русском в микротиковскую строку вида \XX\XX...?

А зачем нужна строка на русском?

Микротик очень не любит русский в принципе.

А зачем нужна строка на русском?

ssid ?

пока так написал https://gist.github.com/5kr1p7/3057d8dcd2e2d46366527b91cca8d351

ssid ?

Руки оторвать?

надо комментарий писать русский, который потом по АПИ запрашиваю

надо комментарий писать русский, который потом по АПИ запрашиваю

А по английски не написать?

Руки оторвать?

кому?

нет. руководству надо кой че выводить из микротика в реальном времени в понятном виде.

кому?

Тому, кто по русски делает ssid

нет. руководству надо кой че выводить из микротика в реальном времени в понятном виде.

Комент на инглише, в переменную, а там что угодно пишите на экране

базу с соответствиями какую-то надо будет ещё поддерживать

Это лучше, чем странное поведение интерфейсов....

А лучше руководству выучить базовый английский

Всем привет! Очень прошу помочь, я в тупике( Настраиваю авторизацию L2TP(IPSec) через Radius (NPS) Попробовал уже на чистых виртуальных образах - ошибка одна: 'no radius server found for 1b:03' Причем, судя по логам, он не отсылает никаких пакетов, а сразу выкидывает таймаут.

Всем привет! Очень прошу помочь, я в тупике( Настраиваю авторизацию L2TP(IPSec) через Radius (NPS) Попробовал уже на чистых виртуальных образах - ошибка одна: 'no radius server found for 1b:03' Причем, судя по логам, он не отсылает никаких пакетов, а сразу выкидывает таймаут.

ну пишет же что не находит радиус сервер, для большего покажите конфигурацию

Сейчас совершенно случайно нашел на забугорном сайте похожую проблему без решения, но там есть предложение: NOTE: The 'No radius server found" error is also thrown if the 'domain' variable is set in the RADIUS client config. Собственно, убрал эту настройку и пакеты пошли, радус стал на них отвечать

ну пишет же что не находит радиус сервер, для большего покажите конфигурацию

Перед этим он должен сформировать запрос и попытаться отправить. А тут сразу же такой вердикт, в этом и баг

есть у кого готовая функция (например на PHP) для конвертирования строки на русском в микротиковскую строку вида \XX\XX...?

Пишите хоть по-русски. Главное https://t.me/mikrotikclub/153037

Подскажите плз, после прохождения mtcna вроде давали лицензию л4, не могу найти ее в лк, временная была какая то?

Подскажите плз, после прохождения mtcna вроде давали лицензию л4, не могу найти ее в лк, временная была какая то?

Нет, она есть

Ее вроде на почту должны были ссылкой

Лучше к тренеру вопрос адресуйте

Разобрался, вопрос снимаю

Здравствуйте! Сильно не пинайте я новичек:). И вопрос мой такой: Есть на VPS CHR для обхода РКН сделан. Настроен по IKEV2. Все работает и с виндовыми и андроид клиентами... Но дома тоже микротик стоит... пытаюсь подружить CHR и домашний микрот таким образом что ба не городить на домашних копах VPN-подключения, а что бы шлюзом сразу сделать CHR.

Такое возможно?