Да

А что почитать не подскажите а то не выходит у меня конект облачного и домашнего.

так сказать сделать домашний клиентом облачного:)

А что почитать не подскажите а то не выходит у меня конект облачного и домашнего.

читайте презентацию Никиты Тарикина на МУМ 2019 в Москве

читайте презентацию Никиты Тарикина на МУМ 2019 в Москве

Поддерживаю. Отличная презентация, я даже ее распечатал, все 186 страниц, если точно следовать ей, то ошибиться сложно и все заводится "из коробки".

спасибо поищу, а может ссылка есть?

спасибо поищу, а может ссылка есть?

https://mum.mikrotik.com/2019/RUM/agenda/EN

Добрый день всем. Подскажите, существует ли возможность настроить роутер так, чтобы при падении основного интернет канала он переключался на резервный? Это вообще возможно на микротах?

СПС пошел грызть так сказать гранит....😁

Добрый день всем. Подскажите, существует ли возможность настроить роутер так, чтобы при падении основного интернет канала он переключался на резервный? Это вообще возможно на микротах?

Да. Гуглите мультиван

СПС пошел грызть так сказать гранит....😁

Это не гранит, это весёлая презентация загорелого чувака в пляжных шмотках

Инет заходит по pppoe на обоих провайдерах

Добрый день всем. Подскажите, существует ли возможность настроить роутер так, чтобы при падении основного интернет канала он переключался на резервный? Это вообще возможно на микротах?

Да. https://habr.com/ru/post/463813/

Добрый день всем. Подскажите, существует ли возможность настроить роутер так, чтобы при падении основного интернет канала он переключался на резервный? Это вообще возможно на микротах?

Легко. Тьма вариантов.

😁

Спасибище)

СПС пошел грызть так сказать гранит....😁

Я по ней делал, так что проверил на практике. Все работает, главное не налагать в сертах и в isec. Да и советую распечатать, удобнее будет, легче воспринимается.

СПС пошел грызть так сказать гранит....😁

Посмотрите, будут вопросы пишите, помогу чем смогу ))

Посмотрите, будут вопросы пишите, помогу чем смогу ))

СПС

Добрый день ткните носом где почитать, соединил два мокротика по vpn как настроить что бы был доступ к пк из локалки 1 микротика к ПК в локалке 2 и наоборот соотвественно

Добрый день ткните носом где почитать, соединил два мокротика по vpn как настроить что бы был доступ к пк из локалки 1 микротика к ПК в локалке 2 и наоборот соотвественно

Просто маршурты к локальным сетям пропиши на обеих роутерах через тунель.

А что за VPN у Вас?

PPTP

Просто маршурты к локальным сетям пропиши на обеих роутерах через тунель.

и фаерволл в форварде

Трафик между локальными адресами микротиков уже ходит?

Между роутерами ходит

А на вкладочке IP Firewall NAT добавлено правило в духе chain:srcnat / out interface:pptp-out1 / action:masquerade ???

А на вкладочке IP Firewall NAT добавлено правило в духе chain:srcnat / out interface:pptp-out1 / action:masquerade ???

Не нужен src nat. Идея так себе

Не нужен src nat. Идея так себе

Да, перепроверил, действительно не нужен.

Хотя старые соединения работают, новые уже не устанавливаются, если это правило отключить.

Хотя старые соединения работают, новые уже не устанавливаются, если это правило отключить.

Добавить vpn с двух сторон в интерфейс лист LAN ну и вы профилях на сервере для впн клиентов маршруты прописать для сетей за клиентами.

Ну в моём случае (не site-to-site) работает и так, а вот человеку возможно поможет.

Лично у меня другая проблема... l2tp/ipsec. Вот с ней пока не вышло справиться...

Не выходит настроить подключение Микротика в качестве l2tp/ipsec-клиента к серверу RRaS на базе Windows Server 2012 R2. Сервер имеет белый ip-адрес, не находится ни за каким NAT. На микротике изначально пробовал настроить по аналогии с pptp (который кстати, отлично работает), ноне вышло. Пытается установить соединение и через несколько секунд разрывает его. Есть какие-то подводные камни? Заранее спасибо. PS: другие девайсы-клиенты (windows/android/ios) отлично коннектятся через l2tp/ipsec.

Не выходит настроить подключение Микротика в качестве l2tp/ipsec-клиента к серверу RRaS на базе Windows Server 2012 R2. Сервер имеет белый ip-адрес, не находится ни за каким NAT. На микротике изначально пробовал настроить по аналогии с pptp (который кстати, отлично работает), ноне вышло. Пытается установить соединение и через несколько секунд разрывает его. Есть какие-то подводные камни? Заранее спасибо. PS: другие девайсы-клиенты (windows/android/ios) отлично коннектятся через l2tp/ipsec.

Логи смотреть. IPSec,!debag выставить и смотреть

Всем привет. Коллеги стоит ли на это обращать внимание? Подключен обычный ПК. О каком КЗ идет речь?

Сработал зк по пое

Лучше отключть авто

warn

/warn

Всем привет. Коллеги стоит ли на это обращать внимание? Подключен обычный ПК. О каком КЗ идет речь?

poe лучше отключать, если не используется, я ловил ужасный глюк, когда микротик выключал порт в который был подключен длинк 48 портовый.

Ок. Буду отключать тогда)

Логи смотреть. IPSec,!debag выставить и смотреть

Посмотрел... Вылетало: vpn_server_ip_address fatal NO-PROPOSAL-CHOSEN notify message , phase1 should be deleted Устранил это создав огромную конструкцию в разделе ip/ipsec, всё как для site-to-site ipsec. Появилась другая ошибка... Стало вылетать: vpn_server_ip_address fatal INVALID-ID-INFORMATION notify message , phase1 should be deleted Эту пока не поборол.

Словил, сегодня, интересный глюк. CRS354, по некоторым интерфейсам трафик перестал ходить. Вот просто нет ничего. Интерфейс раннинг, а трафика нет. И оборудование за интерфейсом не в сети. Единственное, за что можно зацепиться, это то, что Winbox был открыт, всю ночь, с этим свитчом Чот мне кажется, он греется. System - health показывает температуру 63 градуса. Я погуглил, по разным данным, рабочая температура этого чипа до 65 или до 70 градусов. Вентиляторы крутятся на полную, 7900 почти. Надо что-то придумать с охлаждением...

Словил, сегодня, интересный глюк. CRS354, по некоторым интерфейсам трафик перестал ходить. Вот просто нет ничего. Интерфейс раннинг, а трафика нет. И оборудование за интерфейсом не в сети. Единственное, за что можно зацепиться, это то, что Winbox был открыт, всю ночь, с этим свитчом Чот мне кажется, он греется. System - health показывает температуру 63 градуса. Я погуглил, по разным данным, рабочая температура этого чипа до 65 или до 70 градусов. Вентиляторы крутятся на полную, 7900 почти. Надо что-то придумать с охлаждением...

вланы удалось победить?

вланы удалось победить?

Да, я же, вроде, писал

Да, я же, вроде, писал

а бридж в итоге в каком влане оказался?

а бридж в итоге в каком влане оказался?

1, основной, нетегированый

1, основной, нетегированый

может в этом проблема, так как трафик всего этого влана доходит до процессора? выдели в отдельный влан для управления, посмотри, как будет вести себя после этого.

может в этом проблема, так как трафик всего этого влана доходит до процессора? выдели в отдельный влан для управления, посмотри, как будет вести себя после этого.

Тут бы видно было, если весь трафик ходил?

/stat@combot

Привет всем, кто нибудь может проконсультировать по установке chr на vps?

Презентацию MUMa читал, все равно что то не так

Привет всем, кто нибудь может проконсультировать по установке chr на vps?

https://wiki.mikrotik.com/wiki/Manual:CHR_Hetzner

Любой линукс-впс аналогично

да кучу инструкций пересмотрел вчера, везде, в целом, одно и то же написано

Не выходит настроить подключение Микротика в качестве l2tp/ipsec-клиента к серверу RRaS на базе Windows Server 2012 R2. Сервер имеет белый ip-адрес, не находится ни за каким NAT. На микротике изначально пробовал настроить по аналогии с pptp (который кстати, отлично работает), ноне вышло. Пытается установить соединение и через несколько секунд разрывает его. Есть какие-то подводные камни? Заранее спасибо. PS: другие девайсы-клиенты (windows/android/ios) отлично коннектятся через l2tp/ipsec.

какие механизмы аутентификации задействованы?

какие механизмы аутентификации задействованы?

В IPSec Proposal - sha1-128cbc-nopfs. На вкладке dial-out интерфейса l2tp-out2 - отмечены к использованию все - chap, chap2 и т.д.

В IPSec Proposal - sha1-128cbc-nopfs. На вкладке dial-out интерфейса l2tp-out2 - отмечены к использованию все - chap, chap2 и т.д.

а причина разрыва какая?

а причина разрыва какая?

Посмотрел... Вылетало: vpn_server_ip_address fatal NO-PROPOSAL-CHOSEN notify message , phase1 should be deleted Устранил это создав огромную конструкцию в разделе ip/ipsec, всё как для site-to-site ipsec. Появилась другая ошибка... Стало вылетать: vpn_server_ip_address fatal INVALID-ID-INFORMATION notify message , phase1 should be deleted Эту пока не поборол.

Посмотрел... Вылетало: vpn_server_ip_address fatal NO-PROPOSAL-CHOSEN notify message , phase1 should be deleted Устранил это создав огромную конструкцию в разделе ip/ipsec, всё как для site-to-site ipsec. Появилась другая ошибка... Стало вылетать: vpn_server_ip_address fatal INVALID-ID-INFORMATION notify message , phase1 should be deleted Эту пока не поборол.

задача была настроить L2TP IPSec?

Да, к windows server rras.

Да, к windows server rras.

windows клиент?

Нет, Микротик в роли клиента.

Посмотрел... Вылетало: vpn_server_ip_address fatal NO-PROPOSAL-CHOSEN notify message , phase1 should be deleted Устранил это создав огромную конструкцию в разделе ip/ipsec, всё как для site-to-site ipsec. Появилась другая ошибка... Стало вылетать: vpn_server_ip_address fatal INVALID-ID-INFORMATION notify message , phase1 should be deleted Эту пока не поборол.

я бы рекомендовал - удалить все что делали сами, оставить только default в default profile - добавить 3des / в default proposal - добавить 3des пробовать

я бы рекомендовал - удалить все что делали сами, оставить только default в default profile - добавить 3des / в default proposal - добавить 3des пробовать

Да, вполне могу так попробовать сделать. Отпишусь о результатах через пару часов.

Меня вот ещё интересует такое... Как поступать правильно: ipsec key указывать в dial-out вкладке интерфейса l2tp-out2 или же верно его указывать в ipsec/identities? При том, что не указывать в identities я не могу, без этого peer нельзя создать.

https://i.imgur.com/A1wq27g.png а что с иконками?

/ip firewall filter add action=accept chain=input comment=\ "defconf: accept established,related,untracked" connection-state=\ established,related,untracked add action=drop chain=input comment="defconf: drop invalid" connection-state=\ invalid add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp add action=drop chain=input comment="defconf: drop all not coming from LAN" \ in-interface-list=!LAN add action=accept chain=forward comment="defconf: accept in ipsec policy" \ ipsec-policy=in,ipsec add action=accept chain=forward comment="defconf: accept out ipsec policy" \ ipsec-policy=out,ipsec add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \ connection-state=established,related add action=accept chain=forward comment=\ "defconf: accept established,related, untracked" connection-state=\ established,related,untracked add action=drop chain=forward comment="defconf: drop invalid" connection-state=\ invalid add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" \ connection-nat-state=!dstnat connection-state=new in-interface-list=WAN дефаулт фаерволл из квик сета вчера купленного микрота

Меня вот ещё интересует такое... Как поступать правильно: ipsec key указывать в dial-out вкладке интерфейса l2tp-out2 или же верно его указывать в ipsec/identities? При том, что не указывать в identities я не могу, без этого peer нельзя создать.

вы либо конфигурите ipsec нормально полностью от и до, либо используете только use-ipsec=yes и пароль только при конфигурации сервиса, который защищается ipsec

вы либо конфигурите ipsec нормально полностью от и до, либо используете только use-ipsec=yes и пароль только при конфигурации сервиса, который защищается ipsec

О, спасибо. Интуитивно делал именно так, но решил переспросить.

Посоветуйте бэст практис для удаленного безопасного доступа к микроту: 1. Если есть белый ip 2. Если нет белого ip

Посоветуйте бэст практис для удаленного безопасного доступа к микроту: 1. Если есть белый ip 2. Если нет белого ip

Впн независимо от адреса

Впн независимо от адреса

А впн какой предпочитаете? L2tp или ovpn?

А впн какой предпочитаете? L2tp или ovpn?

Уж точно не ovpn

Уж точно не ovpn

Спасибо

Спасибо

а что за модель микротика у многих моделей есть аппаратный ipsec

а что за модель микротика у многих моделей есть аппаратный ipsec

Разные. На нескольких объектах. на vpn l2tp + ip sec доступ настроен, как и советовали выше. Думал может ещё интересные фичи есть. Простой проброс, конечно, сразу отметаем.

Всем привет. Не подскажите что может быть, устройство в arp листе ip показывает но мак адреса нет.